見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
---|---|---|---|
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
CVE-2021-25013 | 1.7.8以前のQubely WordPressプラグインは、qubely_delete_saved_block AJAXアクションの認証とCSRFチェックを行っておらず、削除するブロックがプラグインに属していることを確認していないため、購読者などの認証済みユーザが任意の記事を削除することができます。 | 6.5 |
CVE 2023-10-19 09:00:04.267501 |
CVE-2022-1407 | 1.5.8 以前の VikBooking Hotel Booking Engine & PMS WordPress プラグインは、トラッキングキャンペーンを追加する際に CSRF チェックを行わず、またキャンペーンフィールドを属性で出力する際にエスケープを行いません。その結果、ログインしている管理者が、CSRF 攻撃によって XSS ペイロードを含むトラッキングキャンペーンを追加させることが可能です。 | 6.5 |
CVE 2023-10-19 03:00:03.695064 |
CVE-2022-25148 | WordPress プラグイン WP Statistics には、~/includes/class-wp-statistics-hits.php ファイルにある current_page_id パラメータのエスケープおよびパラメータ化が不十分なため、SQL インジェクションの脆弱性があり、13.1.5 までのバージョンにおいて、認証のない攻撃者が任意の SQL クエリを注入して機密情報を取得できる可能性があります。 | 9.8 |
CVE 2023-10-19 03:00:03.693926 |
CVE-2022-2091 | 3.2.1 以前の Cache Images WordPress プラグインは nonce チェックを実装していないため、攻撃者は CSRF 攻撃により、ログインした任意のユーザーを画像アップロードさせることができます。 | 6.5 |
CVE 2023-10-18 23:00:04.149744 |
CVE-2022-1422 | 5.2 以前の Discy WordPress テーマは、AJAX アクション discy_reset_options で CSRF トークンをチェックしないため、攻撃者が管理者を騙してサイト設定をデフォルトに戻すことができます。 | 6.5 |
CVE 2023-10-17 23:00:04.647118 |
CVE-2021-3133 | WordPress 用 Elementor Contact Form DB プラグイン 1.6 以前では、バックエンドの管理ページ経由で CSRF が可能です。 | 6.5 |
CVE 2023-10-17 09:00:04.727263 |
CVE-2022-1398 | WordPressプラグイン「External Media without Import」1.1.2は、URL経由で追加されたメディアを外部メディアとして認証しないため、購読者などの認証済みユーザがブラインドSSRF攻撃を実行できる可能性があります。 | 6.5 |
CVE 2023-10-17 03:00:03.940580 |
CVE-2022-1424 | 6.8.2 以前の Ask me WordPress テーマは、その AJAX アクションのいずれに対しても CSRF チェックを行わないため、攻撃者はログインしたユーザーを騙してサイト上で様々なアクションを代行させることが可能です。 | 6.5 |
CVE 2023-10-16 23:00:04.256505 |
CVE-2022-1788 | 4.0.0 までの Change Uploaded File Permissions WordPress プラグインは、チェックが欠けているため、CSRF 攻撃を受ける可能性があります。これは、任意のフォルダのファイルおよびフォルダのパーミッションを変更するために使用することができます。このため、iniファイルなど特定のファイルを誰でも読めるようにした場合、問題になる可能性があります。 | 6.5 |
CVE 2023-10-16 09:00:05.042929 |
CVE-2021-24831 | 1.3.2以前のTab WordPressプラグインのすべてのAJAXアクションは、認証されていないユーザーと認証されたユーザーの両方が利用可能であり、認証されていない攻撃者は、任意のタブを追加/編集/削除するなど、プラグイン内のさまざまなデータを変更することができます。 | 7.5 |
CVE 2023-10-16 09:00:05.040842 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.