WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-5954 | WordPress 用の Service Finder SMS System プラグインは、2.0.0 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。 これは、aonesms_fn_savedata_after_signup() 関数による登録時に、プラグインがユーザーのロール選択を制限していないことが原因です。このため、認証されていない攻撃者が管理者ユーザとして登録することが可能です。 | 9.8 |
CVE 2025-10-17 09:00:10.913402 |
| CVE-2025-4523 | WordPress 用プラグイン IDonate - Blood Donation, Request And Donor Management System は、バージョン 2.0.0 から 2.1.9 の admin_donor_profile_view() 関数の機能チェックの欠落により、データへの不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、管理者のユーザ名、メールアドレス、およびすべての寄付者フィールドを公開することが可能になります。 | 6.5 |
CVE 2025-10-17 09:00:09.639847 |
| CVE-2025-5947 | WordPress 用 Service Finder Bookings プラグインは、6.0 までのすべてのバージョンにおいて、認証バイパスによる特権昇格の脆弱性があります。これは、service_finder_switch_back() 関数を通してログインする前に、プラグインがユーザーのクッキーの値を適切に検証しないためです。このため、認証されていない攻撃者が、管理者を含むあらゆるユーザとしてログインできてしまいます。 | 9.8 |
CVE 2025-10-17 09:00:08.546641 |
| CVE-2025-8213 | NinjaScanner - Virus & Malware scan plugin for WordPress は、3.2.5 までのすべてのバージョンにおいて、'nscan_ajax_quarantine' および 'nscan_quarantine_select' 関数におけるファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress のルートディレクトリ外のファイルを含む、サーバー上の任意のファイルを削除することが可能です。 | 7.2 |
CVE 2025-10-17 09:00:05.900524 |
| CVE-2025-8401 | HT Mega - Absolute Addons For Elementor plugin for WordPress には、2.9.1 までのすべてのバージョンにおいて、'get_post_data' 関数を経由した機密情報暴露の脆弱性があります。これにより、Authorレベル以上のアクセス権を持つ認証済みの攻撃者が、非公開、パスワードで保護された、下書きの投稿やページの内容を含む機密データを抽出することが可能になります。 | 4.3 |
CVE 2025-10-17 09:00:05.898207 |
| CVE-2025-8151 | HT Mega - Absolute Addons For Elementor plugin for WordPress は、2.9.1 までのすべてのバージョンにおいて、'save_block_css' 関数を経由した Path Traversal の脆弱性があります。これにより、認証された攻撃者（Author レベル以上のアクセス権を持つ者）は、Windows 環境において、任意のディレクトリに CSS ファイルを作成したり、任意のディレクトリの CSS ファイルを削除したりすることが可能になります。 | 4.3 |
CVE 2025-10-17 09:00:05.895991 |
| CVE-2025-8068 | HT Mega - Absolute Addons For Elementor plugin for WordPress は、2.9.1 までのすべてのバージョンにおいて、'ajax_trash_templates' 関数の機能チェックが不適切なため、不正な改変やデータ損失の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の添付ファイルを削除したり、任意の投稿、ページ、テンプレートをゴミ箱に移動したりすることが可能になります。 | 4.3 |
CVE 2025-10-17 09:00:05.893964 |
| CVE-2025-7205 | GiveWP - Donation Plugin and Fundraising Platform plugin for WordPress は、4.5.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、donor notes パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、GiveWP のワーカー・レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のウェブ・スクリプトをページに注入し、ユーザーが注入されたページにアクセスするたびに実行することが可能です。さらに、管理者を騙してレガシーバージョンのサイトにアクセスさせる必要があります。 | 5.4 |
CVE 2025-10-17 09:00:05.891620 |
| CVE-2025-7847 | WordPress 用 AI Engine プラグインは、バージョン 2.9.3 および 2.9.4 の rest_simpleFileUpload() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、REST API が有効になっている場合、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-10-17 09:00:05.889968 |
| CVE-2025-5720 | WordPress 用 WooCommerce プラグイン Customer Reviews for WooCommerce には、5.80.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'author' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.887747 |
| CVE-2025-6348 | WordPress 用 Smart Slider 3 プラグインは、3.5.1.28 までのすべてのバージョンにおいて、ユーザーが提供したパラメーターのエスケープが不十分で、既存の SQL クエリーの準備が十分でないため、'sliderid' パラメーター経由で時間ベースの SQL インジェクションの脆弱性があります。 このため、管理者レベル以上のアクセス権を持つ、認証された攻撃者は、データベースから機密情報を抽出するために使用できる、追加の SQL クエリを既存のクエリに追加することが可能です。 | 4.9 |
CVE 2025-10-17 09:00:05.885496 |
| CVE-2025-5684 | MetForm - Contact Form, Survey, Quiz, & Custom Form Builder for Elementor plugin for WordPress は、4.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、`mf-template` DOM Element を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.883370 |
| CVE-2025-5587 | Appzend の WordPress 用テーマには、1.2.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「progressbarLayout」パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.880740 |
| CVE-2025-8216 | WordPress 用 Elementor プラグイン Sky Addons には、3.1.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.878311 |
| CVE-2025-8196 | WordPress 用 Magical Addons For Elementor プラグインは、1.3.8 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカスタム属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.876190 |
| CVE-2025-7689 | WordPress 用 Hydra Booking プラグインは、バージョン 1.1.0 から 1.1.18 の tfhb_reset_password_callback() 関数の機能チェックが欠落しているため、特権昇格の脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、Administrator ユーザーのパスワードをリセットし、完全に特権を昇格させることが可能です。 | 8.8 |
CVE 2025-10-17 09:00:05.874486 |
| CVE-2025-6730 | Bonanza - WooCommerce Free Gifts Lite プラグインは、1.0.0 までのすべてのバージョンにおいて、xlo_optin_call() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。 これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、オプトインのステータスを成功に設定することが可能になります。 | 4.3 |
CVE 2025-10-17 09:00:05.872519 |
| CVE-2025-6692 | WordPress 用 YouTube Embed プラグインは、10.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'instance' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.871080 |
| CVE-2025-6681 | WordPress 用 Fan Page プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.0.1 までのすべてのバージョンにおいて、'width' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.868427 |
| CVE-2025-6495 | WordPress 用テーマ Bricks は、1.12.4 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリに十分な準備がないため、'p' パラメータを経由したブラインド SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-10-17 09:00:05.865640 |
| CVE-2025-4566 | WordPress 用 Elementor Website Builder - More Than Just a Page Builder プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.30.2 までのすべてのバージョンにおいて、Text Path ウィジェットの data-text DOM 要素属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この攻撃は Chrome/Edge ブラウザのみに影響します。 | 6.4 |
CVE 2025-10-17 09:00:05.858310 |
| CVE-2025-4370 | WordPress 用の Brizy - Page Builder プラグインには、process_external_asset_urls 関数における認可の欠落、および store_file 関数におけるパス検証の欠落により、2.6.20 までのすべてのバージョンにおいて、ファイルアップロードが制限される脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に .TXT ファイルをアップロードすることが可能になります。 | 5.3 |
CVE 2025-10-17 09:00:05.847710 |
| CVE-2025-3075 | WordPress 用 Elementor Website Builder - More Than Just a Page Builder プラグインは、3.29.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'elementor-element' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、「要素キャッシュ」が有効になっているサイトにのみ影響します。 | 6.4 |
CVE 2025-10-17 09:00:05.842573 |
| CVE-2025-7811 | WordPress 用 StreamWeasels YouTube Integration プラグインは、1.4.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'data-uuid' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-10-17 09:00:05.839608 |
| CVE-2025-7810 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.4 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの 'data-uuid' 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 5.4 |
CVE 2025-10-17 09:00:05.836880 |
| CVE-2025-7809 | WordPress 用 StreamWeasels Twitch Integration プラグインは、1.9.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'data-uuid' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-10-17 09:00:05.832102 |
| CVE-2025-8104 | WordPress 用 Memory Usage プラグインには、3.98 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは wpmemory_install_plugin() 関数の nonce バリデーションが欠落しているためです。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる偽造リクエストを介して、いくつかのホワイトリストのプラグインのいずれかを静かにインストールすることが可能になります。 | 4.3 |
CVE 2025-10-17 09:00:05.830310 |
| CVE-2025-6991 | WordPress 用 kallyas テーマは、4.21.0 までのすべてのバージョンにおいて、'TH_LatestPosts4` ウィジェットを経由したローカルファイル インクルード（Local File Inclusion）の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、サーバー上の任意の .php ファイルをインクルードして実行することが可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これは、.php ファイルがアップロードされ、インクルードされる場合、 アクセス制御を回避したり、機密データを取得したり、コードを実行したりするために 使用されます。 | 7.5 |
CVE 2025-10-17 09:00:05.829662 |
| CVE-2025-6989 | WordPress 用テーマ Kallyas には、4.21.0 までのすべてのバージョンにおいて、 delete_font() 関数におけるファイルパスの検証が不十分なため、任意のフォルダを削除される脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のフォルダを削除することが可能です。 | 8.1 |
CVE 2025-10-17 09:00:05.829046 |
| CVE-2025-5529 | WordPress 用テーマ Educenter には、1.6.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Circle Counter Block を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-17 09:00:05.827995 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.