Analytics Insights 6.3.12以前に未認証の蓄積型XSS（CVE-2026-111820、CVSS 7.2）。GA4のリアルタイムページタイトルを経由して悪意あるスクリプトが表示される恐れ。6.4へ更新。
30秒でわかる / THE SIGNAL
Analytics Insights 6.3.12以前に未認証の蓄積型XSS（CVE-2026-111820、CVSS 7.2）。GA4のリアルタイムページタイトルを経由して悪意あるスクリプトが表示される恐れ。6.4へ更新。
未認証の蓄積型XSS
WordPressプラグインAnalytics Insightsの6.3.12以前で、Google Analytics 4のリアルタイムページタイトルの扱いに起因する蓄積型クロスサイトスクリプティング（XSS）が報告された。CVE-2026-111820、CVSS 7.2（HIGH）。
対策と確認事項
修正版6.4以降へ更新し、管理画面で表示される外部データの扱いを点検する。悪用された場合、閲覧者のブラウザー上で意図しないスクリプトが動作する可能性がある。実環境での悪用は未確認。一次情報：https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/analytics-insights/analytics-insights-6312-unauthenticated-stored-cross-site-scripting-via-ga4-realtime-page-title
WORK SIGNALの視点
分析ツールが受け取るページタイトルも信頼できる入力とは限らない。外部サービスから取り込むデータの表示時エスケープが重要になる。