Post Gridに未認証Hook InjectionのCritical脆弱性（CVE-2024-11080）

WordPressプラグイン「Post Grid and Gutenberg Blocks – ComboBlocks (Post Grid)」の脆弱性情報（CVE-2024-11080）。影響バージョンは2.2.85〜2.3.32（CVE構造化データ。説明文に2.2.32〜2.3.1との不整合あり）。修正版の有無と当面の対処法をまとめています。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Post Grid and Gutenberg Blocks – ComboBlocks (Post Grid)（プラグイン）

CVE

CVE-2024-11080

CVSS / 深刻度

9.8 / Critical

影響バージョン

2.2.85〜2.3.32（CVE構造化データ。説明文に2.2.32〜2.3.1との不整合あり）

脆弱性種別

未認証Hook Injection／任意WordPressアクション実行

脆弱性の概要

Post Gridには、認証なしでWordPressのアクションフックを実行できるHook Injection脆弱性が公開されています。CVSS 9.8 Criticalで、機密性・完全性・可用性への影響はいずれもHighと評価されています。

技術的な内容

form-wrapコンポーネント内の複数処理が、認証・認可を確認せず攻撃者入力に基づくWordPressアクションを実行できることが原因です。CVEの構造化affectedデータは2.2.85〜2.3.32を影響範囲としていますが、説明文には2.2.32〜2.3.1という不整合があります。確認時点のWordPress.org公開最新版は2.3.24で、構造化affected範囲内です。公式配布ページでは修正版を確認できませんでした。実攻撃確認もありません。

悪用状況

実攻撃は未確認

推奨対応

影響範囲に該当するPost Gridを使用している場合、公式の修正版が確認できるまで無効化・削除または代替プラグインへの切替を推奨します。継続利用が必要な場合は外部公開機能を最小化し、不審なリクエスト、管理者追加、設定変更、最近変更されたPHPファイルを確認してください。

情報源

• WordPress.org（開発元公式・公開最新版確認）
• CVE.org（CVEレコード）
• IONIX（技術解析）

情報確認日時：2026年9月6日 12:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。