WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-11452 | WordPress 用の Chamber Dashboard Business Directory プラグインは、3.3.8 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'business_categories' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-26 03:00:06.521357 |
| CVE-2024-10789 | WordPress 用 WP User Profile Avatar プラグインは、1.0.5 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは wpupa_user_admin() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するためにサイト管理者を騙ることができる偽造リクエストを使用して、機能へのアクセスを制御するプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-04-26 03:00:06.516324 |
| CVE-2025-0170 | DWT - Directory & Listing WordPress Theme は、3.3.3 までのバージョンにおいて、'sort_by' および 'token' パラメータの入力サニタイズおよび出力エスケープが不十分なため、Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブスクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-04-25 23:00:06.768063 |
| CVE-2024-10970 | The Motors - Car Dealer, Classifieds & Listing plugin for WordPress は、1.4.43 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が任意のショートコードを実行することが可能になります。 | 5.4 |
CVE 2025-04-25 23:00:06.767203 |
| CVE-2025-0215 | UpdraftPlus: WP Backup & Migration Plugin plugin for WordPress は、1.24.12 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、showdata および initiate_restore パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が、管理者ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 | 6.1 |
CVE 2025-04-25 23:00:06.762215 |
| CVE-2024-12274 | Appointment Booking Calendar PluginとScheduling Pluginの1.1.23より前のWordPressプラグインは、エクスポート設定機能により、推測しやすいファイル名でデータを公開フォルダにエクスポートするため、認証されていない攻撃者がエクスポートされたファイル（存在する場合）にアクセスできてしまいます。 | 7.5 |
CVE 2025-04-25 09:00:10.015115 |
| CVE-2025-22762 | この問題は、WordPress HelpDesk & Support Ticket System Plugin - Octrace Support の n/a から 1.2.7 に存在する Stored XSS に影響します。 | 5.9 |
CVE 2025-04-25 09:00:06.054660 |
| CVE-2024-13215 | WordPress 用 Elementor Addon Elements プラグインは、1.13.10 までのすべてのバージョンにおいて、modules/modal-popup/widgets/modal-popup.php の 'render' 関数を経由して、機密情報暴露の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、スケジュールされたデータ、およびドラフトテンプレートデータを抽出することが可能になります。 | 4.3 |
CVE 2025-04-25 09:00:06.053715 |
| CVE-2024-12593 | WordPress 用 PDF for WPForms + Drag and Drop Template Builder プラグインは、4.6.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが与えた属性の出力エスケープが不十分なため、プラグインの yeepdf_dotab ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-25 09:00:06.052767 |
| CVE-2024-11851 | WordPress 用 NitroPack プラグインは、1.17.0 までのすべてのバージョンにおいて、 nitropack_rml_notification 関数の機能チェックが欠落しているため、 無許可で任意のトランジェントを更新される脆弱性があります。このため、サブスクライバ以上のアクセス権を持つ認証済みの攻撃者が、任意のトランジェントを更新することが可能です。これらのトランジェントが更新できるのは整数値のみであり、任意の値ではないことに注意してください。 | 4.3 |
CVE 2025-04-25 09:00:06.052117 |
| CVE-2024-11848 | WordPress 用 NitroPack プラグインは、1.17.0 までのすべてのバージョンにおいて、'nitropack_dismiss_notice_forever' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバ・レベル以上のアクセス権を持つ認証済みの攻撃者は、特定のオプションを有効にしたり (たとえば、ユーザ登録を有効にしたり)、サービス拒否状態につながる方法で特定のオプションを変更したりできる、任意のオプションを '1' の固定値に更新することが可能です。 | 8.1 |
CVE 2025-04-25 09:00:06.051458 |
| CVE-2024-9636 | WordPress 用の Post Grid and Gutenberg Blocks プラグインは、バージョン 2.2.85 から 2.3.3 において特権昇格の脆弱性があります。これは、プラグインがプロファイル登録時に更新可能なユーザメタを適切に制限していないことが原因です。これにより、認証されていない攻撃者が管理者としてサイトに登録することが可能になります。 | 9.8 |
CVE 2025-04-25 09:00:06.050476 |
| CVE-2024-13351 | WordPress 用の Social proof testimonials and reviews by Repuso プラグインは、5.20 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'rw_image_badge1' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-04-25 09:00:06.049428 |
| CVE-2024-12818 | WordPress 用 WP Smart TV プラグインは、2.1.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'tv-video-player' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-25 09:00:06.048694 |
| CVE-2024-12423 | WordPress 用 Contact Form 7 Redirect & Thank You Page プラグインは、1.0.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'post' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-04-25 09:00:06.047902 |
| CVE-2024-12403 | WordPress 用 Image Gallery - Responsive Photo Gallery プラグインは、1.0.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'awsmgallery' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-25 09:00:06.047096 |
| CVE-2024-10775 | WordPress 用の Piotnet Addons For Elementor プラグインは、2.4.32 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分であるため、'pafe-template' ショートコード経由で情報漏えいの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、Elementor で作成された非公開投稿や下書き投稿から、アクセスすべきでないデータを抜き取ることが可能です。 | 4.3 |
CVE 2025-04-25 09:00:06.043756 |
| CVE-2024-11870 | Event Registration Calendar By vcita plugin for WordPress は、1.4.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-25 03:00:07.974520 |
| CVE-2024-13394 | WordPress 用 ViewMedica 9 プラグインは、1.4.15 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'viewmedica' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-25 03:00:07.964697 |
| CVE-2024-13334 | WordPress 用 Car Demon プラグインは、1.8.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'search_condition' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-25 03:00:07.961426 |
| CVE-2024-12240 | WordPress 用 Page Builder by SiteOrigin プラグインは、入力のサニタイズと出力のエスケープが不十分なため、2.31.0 までのすべてのバージョンにおいて、row label パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-24 09:00:08.320172 |
| CVE-2024-12919 | WordPress 用の有料会員登録 - Effortless Memberships, Recurring Payments & Content Restriction プラグインは、2.13.7 までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、pms_pb_payment_redirect_link 関数が、'pms_payment_id' パラメータを通して提供されたユーザ制御の値を、それ以上の本人確認なしにユーザを認証するために使用することが原因です。これにより、有効なペイメント ID を知っている認証されていない攻撃者が、標的のサイトで購入したユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-04-24 09:00:08.319520 |
| CVE-2025-0394 | WordPress CRM, Email & Marketing Automation for WordPress | Award Winner - Groundhogg plugin for WordPress は、3.7.3.5 までのすべてのバージョンにおいて、gh_big_file_upload() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-04-24 09:00:08.318638 |
| CVE-2025-0393 | WordPress 用 Royal Elementor Addons and Templates プラグインには、1.7.1006 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wpr_filter_grid_posts() 関数の nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、 偽装されたリクエストを使って悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-24 09:00:08.317463 |
| CVE-2024-13156 | HTML5 Video Player - mp4 Video Player Plugin and Block plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、2.5.35 までのすべてのバージョンにおいて、'heading' パラメータを介した DOM ベースの蓄積型クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-24 09:00:08.313528 |
| CVE-2024-12365 | WordPress 用 W3 Total Cache プラグインは、2.8.1 までのすべてのバージョンにおいて、 is_w3tc_admin_page 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がプラグインの nonce 値を取得し、不正なアクションを実行することが可能となり、情報漏洩、サービスプランの制限、およびクラウドベースのアプリケーションのインスタンスメタデータを含む内部サービスからの情報のクエリに使用可能な、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストが発生します。 | 8.5 |
CVE 2025-04-24 03:00:04.927904 |
| CVE-2024-12008 | WordPress 用 W3 Total Cache プラグインは、2.8.1 までのすべてのバージョンにおいて、一般に公開されているデバッグログファイルを通して情報漏洩の脆弱性があります。これにより、認証されていない攻撃者が、公開されたログファイル内の潜在的にセンシティブな情報を閲覧することが可能になります。例えば、ログファイルには、さらなる CSRF 攻撃に使用できる nonce 値が含まれている可能性があります。 注意：この問題が発生するためには、デバッグ機能が有効になっている必要があり、デフォルトでは無効になっています。 | 5.3 |
CVE 2025-04-24 03:00:04.926559 |
| CVE-2024-12006 | WordPress 用 W3 Total Cache プラグインは、2.8.1 までのすべてのバージョンにおいて、いくつかの機能のチェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がプラグインを無効化したり、プラグインの拡張機能を有効化したり無効化したりすることが可能になります。 | 5.3 |
CVE 2025-04-24 03:00:04.925607 |
| CVE-2024-13323 | WordPress 用 WP Booking Calendar プラグインは、10.9.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'booking' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-24 03:00:04.921823 |
| CVE-2024-11396 | Event Monster - Event Management, Tickets Booking, Upcoming Event plugin for WordPress は、1.4.3 までのすべてのバージョンにおいて、訪問者リストエクスポートファイルを介した情報漏洩の脆弱性があります。エクスポートの際、wp-content フォルダにハードコードされたファイル名で CSV ファイルが作成されます。これにより、認証されていない攻撃者は、姓名、電子メール、電話番号を含むイベント訪問者に関するデータを抽出することが可能になります。 | 5.3 |
CVE 2025-04-23 23:00:05.385096 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.