何が起きたか
CVE-2026-123478（不適切な無害化、保存型XSS）は、Meow Appsの「AI Engine」WordPressプラグイン 3.9.1 までに影響します。2026-11-11 にPatchstack/WordPress経由で公開されました。プラグインのAI支援コンテンツ処理を通じて生成される保存型クロスサイトスクリプティング（CVSS 7.1）を許し、細工されたインジェクションが永続化され、影響を受けるコンテンツを閲覧するすべての人のブラウザで実行されます。
なぜ重要か
このプラグインはWordPressに統合されたAIコンテンツ生成コンポーネントであり、インジェクションはAI/コンテンツ境界を越えます。モデルまたはプラグインが生成/サニタイズするコンテンツは出力時に安全にエスケープされておらず、保存型XSSペイロードが特権的なWordPress管理者セッション下で実行され、AI支援出版ワークフローでのアカウント/ロール乗っ取りを可能にします。
攻撃経路
AI Engineプラグインにおける保存型クロスサイトスクリプティング（CWE-79）の欠陥：プラグインが生成または処理する攻撃者制御のコンテンツが出力時に適切に無害化されず、細工されたインジェクションが保存され、影響を受けるAI生成コンテンツ/ページがレンダリングされるときに被害者のブラウザで実行され、特権（管理者）セッションで実行される可能性があります。
影響を受けるシステム
AI Engine（Meow Apps）WordPressプラグイン 3.9.1 まで。
緩和策
AI Engineを3.9.1より後のバージョンに更新してください（patchstack/WordPressアドバイザリ）。プラグインがレンダリングするAIコンテンツに対して出力エスケープ/無害化を適用し、WPサイトにWebアプリケーションファイアウォールを設置してください。