WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-5817 | WordPress 用 Amazon Products to WooCommerce プラグインは、1.2.7 までのすべてのバージョンにおいて、 wcta2w_get_urls() を経由した Server-Side Request Forgery の脆弱性があります。これにより、認証されていない攻撃者がウェブアプリケーションから任意の場所にウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 7.2 |
CVE 2026-01-16 03:00:06.929948 |
| CVE-2025-11760 | eRoom - Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams plugin for WordPress には、1.5.6 までのすべてのバージョンにおいて、機密情報が漏洩する脆弱性があります。これは、このプラグインが会議ビューテンプレート内のクライアントサイドJavaScriptでZoom SDKのシークレットキーを公開していることが原因です。これにより、認証されていない攻撃者が、サーバー側に残すべき sdk_secret 値を抽出することが可能となり、Zoom 統合のセキュリティが損なわれ、攻撃者が不正な会議アクセスのために有効な JWT シグネチャを生成できるようになります。 | 5.3 |
CVE 2026-01-16 03:00:06.928307 |
| CVE-2025-11576 | AI Chatbot Free Models - Customer Support, Live Chat, Virtual Assistant plugin for WordPress には、1.6.5 までのすべてのバージョンにおいて CSV インジェクションの脆弱性があります。これは 'newcodebyte_chatbot_export_messages' 関数のサニタイズが不十分なためです。これにより、認証されていない攻撃者が、エクスポートされた CSV ファイルに信頼されていない入力を埋め込むことが可能となり、これらのファイルがダウンロードされ、脆弱な設定を持つローカルシステムで開かれた場合、コードが実行される可能性があります。 | 4.3 |
CVE 2026-01-16 03:00:06.927161 |
| CVE-2025-10861 | WordPress 用 Popup builder with Gamification, Multi-Step Popups, Page-Level Targeting, and WooCommerce Triggers プラグインは、2.1.4 までのすべてのバージョンにおいて Server-Side Request Forgery の脆弱性があります。これは URL パラメータで提供される URL のバリデーションが不十分なためです。これにより、認証されていない攻撃者がウェブアプリケーションを起点として任意の場所にウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更、ネットワーク偵察に利用される可能性があります。この脆弱性はバージョン 2.1.4 で部分的に修正されました。 | 7.5 |
CVE 2026-01-16 03:00:06.926560 |
| CVE-2025-12136 | リアルクッキーバナー：WordPress 用の GDPR & ePrivacy Cookie Consent プラグインは、5.2.4 までのすべてのバージョンにおいて Server-Side Request Forgery の脆弱性があります。これは、'/scanner/scan-without-login' REST API エンドポイントでユーザーが提供する URL の検証が不十分なためです。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点として任意の場所にウェブリクエストを行うことが可能になり、`url`パラメータを介して内部サービスの情報を照会および変更するために使用される可能性があります。 | 6.8 |
CVE 2026-01-16 03:00:06.925064 |
| CVE-2025-12134 | ZoloBlocks - Gutenberg Block Editor Plugin with Advanced Blocks, Dynamic Content, Templates & Patterns plugin for WordPress は、2.3.11 までのすべてのバージョンにおいて、update_popup_status() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がポップアップを有効/無効にできる可能性があります。 | 5.3 |
CVE 2026-01-16 03:00:06.923728 |
| CVE-2025-12096 | WordPress 用 WooCommerce プラグイン Simple Excel Pricelist for WooCommerce には、1.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'pricelist' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。このため、コントリビュータ・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-16 03:00:06.922288 |
| CVE-2025-12072 | WordPress 用 Disable Content Editor For Specific Template プラグインは、2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、テンプレート設定の更新における nonce 検証の欠落によるものです。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するよう管理者をだますことができる、偽造されたリクエストを使用して、テンプレートの設定を追加または削除することが可能になります。 | 4.3 |
CVE 2026-01-16 03:00:06.920394 |
| CVE-2025-12028 | WordPress 用 IndieAuth プラグインには、4.5.4 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは `login_form_indieauth()` 関数と wp-login.php?action=indieauth の認可エンドポイントにおける nonce 検証の欠落によるものです。このため、認証されていない攻撃者は、攻撃者が管理するアプリケーションの OAuth 認証リクエストを認証済みユーザに承認させるために、ログイン中にリンクをクリックしたり、悪意のあるページにアクセスしたりといったアクションを実行するようにユーザを騙すことができます。攻撃者は、盗んだ認証コードをアクセストークンと交換することで、付与されたスコープ(作成、更新、削除)で被害者のアカウントを効果的に乗っ取ることができます。 | 8.8 |
CVE 2026-01-16 03:00:06.918607 |
| CVE-2025-12017 | VNPAY Payment gateway plugin for WordPress は、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'message' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2026-01-16 03:00:06.916966 |
| CVE-2025-12016 | WordPress 用 qnotsquiz プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'qnotsquiz_custom_start_text' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2026-01-16 03:00:06.915259 |
| CVE-2025-12014 | WordPress 用 NGINX Cache Optimizer プラグインは、1.1 までのすべてのバージョンにおいて、'nginxcacheoptimizer-blacklist-update' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、動的キャッシュからURLを除外する設定にURLを追加することが可能になります。 | 4.3 |
CVE 2026-01-16 03:00:06.913787 |
| CVE-2025-11992 | WordPress 用 Multi Item Responsive Slider プラグインには、1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'mioptions.php' ページでの nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2026-01-16 03:00:06.911977 |
| CVE-2025-11889 | WordPress 用 AIO Forms - Craft Complex Forms Easily プラグインは、1.3.15 までのすべてのバージョンにおいて、インポート機能のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2026-01-16 03:00:06.910684 |
| CVE-2025-11887 | WordPress 用 Supervisor プラグインは、1.3.2 までのすべてのバージョンにおいて、いくつかの AJAX 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの各種設定を更新することが可能です。 | 4.3 |
CVE 2026-01-16 03:00:06.909250 |
| CVE-2025-11504 | WordPress 用プラグイン Quickcreator - AI Blog Writer には、バージョン 0.0.9 から 0.1.17 において、/wp-content/plugins/quickcreator/dupasrala.txt ファイルを介した機密情報漏洩の脆弱性があります。このため、認証されていない攻撃者がプラグインの API キーを閲覧し、そのキーを使ってサイト上で新しい投稿を作成したり XSS ペイロードを注入したりといったアクションを実行することが可能です。 | 7.5 |
CVE 2026-01-16 03:00:06.908004 |
| CVE-2025-11257 | WordPress 用 LLM Hubspot Blog Import プラグインは、1.0.1 までのすべてのバージョンにおいて、'process_save_blogs' AJAX エンドポイントの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、すべてのハブスポットデータのインポートをトリガーすることが可能になります。 | 4.3 |
CVE 2026-01-16 03:00:06.906647 |
| CVE-2025-11172 | WordPress 用の Check Plagiarism プラグインは、2.0 までのすべてのバージョンにおいて、chk_plag_mine_plugin_wpse10500_admin_action() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が API キーを更新することが可能になります。 | 4.3 |
CVE 2026-01-16 03:00:06.905164 |
| CVE-2025-10902 | WordPress用のOriginality.ai AI Checkerプラグインは、1.0.12までのすべてのバージョンにおいて、'ai_scan_result_remove'関数の機能チェックが欠落しているため、不正にデータを失う脆弱性があります。これにより、Subscriberレベル以上のアクセス権を持つ認証済みの攻撃者が、wp_originalityai_logデータベーステーブル内のすべてのデータを削除することが可能になります。 | 4.3 |
CVE 2026-01-16 03:00:06.904182 |
| CVE-2025-10901 | WordPress用のOriginality.ai AI Checkerプラグインは、1.0.12までのすべてのバージョンにおいて、'ai_get_table'関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者は、wp_originality_ai_log データベーステーブル内のすべてのデータを読み取ることが可能であり、これには投稿タイトル、スキャンスコア、使用クレジット、およびその他のデータが含まれる可能性があります。 | 4.3 |
CVE 2026-01-16 03:00:06.902511 |
| CVE-2025-10749 | WordPress 用 Microsoft Azure Storage for WordPress プラグインには、4.5.1 までのすべてのバージョンにおいて、Unauthorized Arbitrary Media Deletion の脆弱性があります。これは、'azure-storage-media-replace' AJAX アクションの機能チェックの欠落によるものです。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、すべての認証済みユーザに公開されている nonce にアクセスすることで、replace_attachment パラメータを介して WordPress メディアライブラリから任意のメディアファイルを削除することが可能になります。 | 5.4 |
CVE 2026-01-16 03:00:06.900990 |
| CVE-2025-10748 | WordPress 用 RapidResult プラグインは、1.2 までのすべてのバージョンにおいて、's' パラメータを介した SQL インジェクションの脆弱性があります。これは、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないことが原因です。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-16 03:00:06.899665 |
| CVE-2025-10740 | WordPress 用 URL Shortener Plugin For WordPress プラグインは、3.0.7 までのすべてのバージョンにおいて verifyRequest 関数の機能チェックが欠落しているため、API によって提供される機能への不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がリンクを変更することが可能になります。 | 6.3 |
CVE 2026-01-16 03:00:06.898184 |
| CVE-2025-10701 | The Time Clock - A WordPress Employee & Volunteer Time Clock Plugin for WordPress には、1.3.1 までのすべてのバージョンにおいて、'data' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これは、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なためです。これにより、Time Clockのユーザー認証情報を持つ認証済みの攻撃者が、ユーザーが影響を受けるページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2026-01-16 03:00:06.897245 |
| CVE-2025-6440 | WordPress テーマ「Pricom - Printing Company & Design Services」で使用されている WordPress 用 WooCommerce Designer Pro プラグインは、1.9.26 までのすべてのバージョンにおいて、'wcdp_save_canvas_design_ajax' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2026-01-16 03:00:06.895557 |
| CVE-2025-9978 | 2.7.0より前のJeg Kit for Elementor WordPressプラグインは、xmlrpc.php経由でアップロードされたSVGファイルの内容をサニタイズしておらず、クロスサイトスクリプティングの脆弱性があります。 | 6.8 |
CVE 2026-01-16 03:00:06.894357 |
| CVE-2025-10874 | オービットフォックス：Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPressプラグイン3.0.2以前のバージョンでは、ストックフォトインポート機能に使用できるURLを制限していないため、ユーザーが任意のURLを指定することができます。このため、任意の URL を指定することができ、サーバサイドリクエストフォージェリにつながります。 | 5.5 |
CVE 2026-01-16 03:00:06.892645 |
| CVE-2025-10723 | 11.1.2以前のPixelYourSite WordPressプラグインは、関数/秒に渡されるパスを生成するためにそれらを使用する前に、いくつかのURLパラメータを検証していないため、任意の管理者がLFI攻撃を実行することができます。 | 2.7 |
CVE 2026-01-16 03:00:06.890749 |
| CVE-2025-7730 | WordPress 用 Bold Page Builder プラグインは、5.4.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'percentage' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビュータレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-16 03:00:06.890164 |
| CVE-2025-8427 | WordPress 用プラグイン Beaver Builder Plugin (Starter Version) には、2.9.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'auto_play' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-16 03:00:06.888189 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.