【2026年10月】GoSMTP Proに保存型XSSの脆弱性｜メール送信履歴の表示に注意

CVE-2026-96768／CVSS 7.2／2026年10月15日公表・16日更新

WordPressのメール送信を管理する「GoSMTP Pro」に、メール送信履歴を通じて不正なJavaScriptが実行される可能性のある脆弱性が報告されました。

GoSMTPとは？

GoSMTPは、WordPressからのメール送信をSMTPサーバーや外部メール配信サービス経由で行うためのプラグインです。

お問い合わせ通知、注文確認、パスワード再設定メールなどの到達率改善に利用できます。

有料版のGoSMTP Proでは、メール送信履歴、再送信、レポート、通知などの機能も提供されています。送信トラブルの原因調査やメール運用の管理に役立ちます。

今回の脆弱性について

今回の問題は、WordPressのコメント内容がメール通知を経由してGoSMTP Proのメールログに保存される際、危険なHTMLが適切に処理されないことによるものです。

攻撃者が細工したコメント内容を送信し、その内容がメールログに記録・表示されると、不正なスクリプトが実行される可能性があります。

この問題はPro版のメールログ機能に関係するものです。無料版の利用サイトすべてが同じ影響を受けるわけではありません。

Wordfence

影響バージョンと対策

1.2.3以前が対象で、1.2.4で修正されています。

開発元は10月7日公開の1.2.4で、メールログに関するセキュリティ修正を実施したと明記しています。

GoSMTP

利用中の場合は1.2.4以降へ更新し、テストメールの送信、メールログの表示、メール再送信、各種通知機能を確認してください。

利用規模： WordPress.org掲載のGoSMTP無料版は有効インストール数500,000以上（2026年10月16日確認）。GoSMTP Pro単独の有効インストール数は確認できません。