何が起きたか
CVE-2026-109985（CWE-79、CVSS 6.4）は、xSpeed AI/MCPキャッシングプラグインにおける格納型クロスサイトスクリプティングの脆弱性です。投稿者レベルのユーザーが任意のスクリプトを注入でき、ページを訪れたユーザーのコンテキストで実行されます。
なぜ重要か
これはAI/MCP関連のWordPressプラグインです。格納されたスクリプトは、AIキャッシュ/MCP設定やプラグインが扱うプロバイダー資格情報を管理する管理者セッションを乗っ取るために使用でき、コンテンツレベルのXSSを管理者レベルの影響に変えます。
攻撃経路
投稿者レベルのアクセスを持つ認証済み攻撃者が、不十分な入力サニタイズ/出力エスケープのために「content」パラメータを通じて任意のWebスクリプトを注入します。格納型XSSは、任意のユーザーが注入されたページを訪れたときに発火します。
影響を受けるシステム
xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN（wpdevteam）1.4.2まで
緩和策
パッチ済みチェンジセット（WordPressプラグインtracチェンジセット 3749755）を適用/1.4.2以降にアップグレード。