Recommended action window: Monitor and triage in normal cycle
NVD description
The WebP Express WordPress plugin before 0.25.16 does not escape values that its bundled HTML parser re-emits into element attributes when a non-default image delivery mode is enabled, allowing unauthenticated users to submit content that is stored and later executed as Cross-Site Scripting in the browser of any user viewing an affected page, including administrators.
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
NONE
PHPの脆弱性も大変だけど、プラグインの脆弱性も減るわけではない...。 WebP ExpressのXSS脆弱性（CVE-2026-97328）。ログインしていない人が送った内容がそのまま保存されて、ページを開いた人のブラウザで動く。 対象：0.25.15以下で、Alter HTMLをオンにしているサイト 対処方法：0.25.16にあげる 修正版は10/18に出ていて、WPScanが攻撃の手順を公開するのは11/20。プラグイン一覧でバージョンを見て、オンかどうかは設定画面で確かめるのが安心だミー🐾 https://patchon.jp/blog/webp-express-alter-html-stored-xss