WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-10091 | WordPress 用 Elementor アドオン プラグイン ElementsKit には、3.2.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、画像比較ウィジェットを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-03 03:00:09.470338 |
| CVE-2024-9585 | WordPress 用 Image Map Pro プラグインは、6.0.20 までのバージョンにおいて、任意のショートコードによる 'save_project' 関数を経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 09:00:11.413285 |
| CVE-2024-9584 | WordPress 用 Image Map Pro プラグインは、6.0.20 までのバージョンにおいて、AJAX 関数の機能チェックが欠落しているため、データの不正な変更およびデータの消失の脆弱性があります。これにより、投稿者レベル以上の権限を持つ攻撃者が、マッププロジェクトを追加、更新、または削除することが可能になります。 | 5.4 |
CVE 2025-02-02 09:00:11.412708 |
| CVE-2024-10374 | WordPress 用 WP-Members Membership Plugin プラグインは、3.4.9.5 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの wpmem_loginout ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 09:00:11.412120 |
| CVE-2024-8666 | WordPress 用の Shoutcast Icecast HTML5 Radio Player プラグインは、2.1.6 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'html5radio' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 09:00:11.411573 |
| CVE-2024-10343 | WordPress 用 Beek Widget Extention プラグインは、0.9.5 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 09:00:11.411012 |
| CVE-2024-10112 | WordPress 用 Simple News プラグインは、2.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'news' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 09:00:11.410257 |
| CVE-2024-10016 | WordPress 用 WPForms プラグイン File Upload Types by WPForms には、1.4.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-02 09:00:11.407881 |
| CVE-2024-9630 | WordPress 用の WPS Telegram Chat プラグインには、4.5.4 までのバージョンでメッセージにアクセスする際のケイパビリティチェックが欠落しているため、認証バイパスの脆弱性があります。これにより、認証されていない攻撃者が Telegram Bot API を通して送信されたメッセージを閲覧することが可能になります。 | 5.4 |
CVE 2025-02-02 03:00:16.914636 |
| CVE-2024-9628 | WordPress 用 WPS Telegram Chat プラグインは、4.5.4 までのバージョンにおいて、'Wps_Telegram_Chat_Admin::check?onnection' 関数の機能チェックが欠落しているため、データの不正な変更およびデータの消失の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、Telegram Bot APIエンドポイントにフルアクセスし、通信することが可能になります。 | 6.3 |
CVE 2025-02-02 03:00:16.913584 |
| CVE-2024-9598 | AMP for WP - Accelerated Mobile Pages plugin for WordPress は、1.0.99.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'proxy' 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、ログインしているユーザのクッキーを偽造リクエストで自分のサーバに送信することが可能になります。 | 8.8 |
CVE 2025-02-02 03:00:16.912736 |
| CVE-2024-10342 | WordPress 用 League of Legends Shortcodes プラグインは、1.0.1 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 03:00:16.911770 |
| CVE-2024-10341 | WordPress 用 League of Legends Shortcodes プラグインは、1.0.1 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2025-02-02 03:00:16.910403 |
| CVE-2024-10150 | WordPress 用 Bamazoo - Button Generator プラグインは、1.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの dgs ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 03:00:16.909657 |
| CVE-2024-9607 | WordPress 用の 10Web Social Post Feed プラグインは、1.2.9 までの全てのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブ・スクリプトを注入して実行させることができます。これは、leave a review notice が存在する場合にのみ悪用可能であることに注意してください。 | 6.1 |
CVE 2025-02-02 03:00:16.908789 |
| CVE-2024-9302 | The App Builder - Create Native Android & iOS Apps On The Flight plugin for WordPress は、5.3.7 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、verify_otp_forgot_password() および update_password() 関数に、パスワードを変更するための OTP のブルートフォース攻撃を防ぐための十分な制御がないため、またはパスワードのリセット要求が認証されたユーザーからのものであることを確認するための十分な制御がないためです。このため、認証されていない攻撃者が、管理者を含むすべてのユーザのパスワードを変更できるようにする OTP を生成し、ブルートフォースすることが可能になってしまう。 | 8.1 |
CVE 2025-02-02 03:00:16.907283 |
| CVE-2024-9235 | WordPress 用 Mapster WP Maps プラグインは、1.5.0 までの全てのバージョンにおいて、 mapster_wp_maps_set_option_from_js() 関数の機能チェックが不十分なため、権限の昇格につながる不正なデータ修正の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になってしまう。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができる。 | 8.8 |
CVE 2025-02-02 03:00:16.906545 |
| CVE-2024-10148 | WordPress 用の Awesome buttons プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの btn2 ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-02 03:00:16.905762 |
| CVE-2024-10011 | WordPressのBuddyPressプラグインは、14.1.0までのすべてのバージョンにおいて、idパラメータを経由したディレクトリトラバーサルの脆弱性があります。これにより、Subscriberレベル以上のアクセス権を持つ認証された攻撃者は、本来意図されたディレクトリ外のファイルに対してアクションを実行することが可能になり、ウェブルート外のディレクトリへのファイルアップロードが可能になります。サーバーの設定によっては、二重の拡張子を持つファイルをアップロードできる可能性があります。この脆弱性は Windows にのみ影響します。 | 8.1 |
CVE 2025-02-02 03:00:16.905003 |
| CVE-2024-9488 | WordPress 用の Comments - wpDiscuz プラグインは、7.6.24 までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これはソーシャルログイントークンによって返されるユーザの検証が不十分なためです。このため、認証されていない攻撃者は、電子メールにアクセスすることができ、トークンを返すサービスの既存のアカウントを持っていないユーザであれば、管理者など、サイトの既存のユーザとしてログインすることが可能です。 | 9.8 |
CVE 2025-02-02 03:00:16.903840 |
| CVE-2024-9109 | WordPress 用 WooCommerce UPS Shipping - Live Rates and Access Points プラグインは、2.3.11 までのすべてのバージョンにおいて delete_oauth_data 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの API キーを削除することが可能です。 | 4.3 |
CVE 2025-02-02 03:00:16.903088 |
| CVE-2024-9686 | WordPress 用 Order Notification for Telegram プラグインは、1.0.1 までのバージョンにおいて、'nktgnfw_send_test_message' 関数の機能チェックが欠落しているため、不正なテストメッセージ送信の脆弱性があります。これにより、認証されていない攻撃者が、Telegram Bot API 経由で、設定で設定されたユーザーにテストメッセージを送信することが可能になります。 | 5.3 |
CVE 2025-02-02 03:00:16.900521 |
| CVE-2024-10180 | WordPress 用 Contact Form 7 - Repeatable Fields プラグインは、2.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力属性のエスケープが不十分なため、プラグインの field_group ショートコードを経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-01 09:00:06.050520 |
| CVE-2024-8959 | WP Adminify - Custom WordPress Dashboard, Login and Admin Customizer plugin for WordPress には、4.0.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-01 09:00:06.049897 |
| CVE-2024-9650 | WordPress 用 WP Recipe Maker プラグインは、9.6.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'tooltip' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.5 |
CVE 2025-02-01 09:00:06.049259 |
| CVE-2024-9214 | WordPress 用 Extra Product Options Builder for WooCommerce プラグインは、1.2.133 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、署名ファイルの作成時に 'RednaoSerializedFields' パラメータを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.1 |
CVE 2025-02-01 09:00:06.048670 |
| CVE-2024-10176 | WordPress 用 Compact WP Audio Player プラグインは、1.9.13 までのすべてのバージョンにおいて、プラグインの SC_EMBED_PLAYER ショートコードは、1.9.13 までのすべてのバージョンにおいて、入力サニタイズと出力エスケープが不十分なため、ユーザーから提供された属性に保存されたクロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-01 09:00:06.048051 |
| CVE-2024-8717 | WordPress 用 PDF Flipbook, 3D Flipbook, PDF 埋め込み, PDF ビューア - DearFlip プラグインは、2.3.32 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'pdf_source' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-01 09:00:06.047380 |
| CVE-2024-10050 | WordPress 用 Elementor Header & Footer Builder プラグインは、1.6.43 までのすべてのバージョンにおいて、hfe_template ショートコードによる情報漏洩の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、自分の所有物ではない Draft、Private、パスワードで保護された投稿の内容を閲覧することが可能になります。 | 4.3 |
CVE 2025-02-01 09:00:06.044923 |
| CVE-2024-9943 | WordPress 用 MultiVendorX - The Ultimate WooCommerce Multivendor Marketplace Solution プラグインは、4.2.4 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、api/class-mvx-rest-controller.php のいくつかの関数で nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が、ベンダーのアカウント詳細の更新、ベンダーのアカウントの作成、および任意のユーザーの削除を、リンクをクリックするなどのアクションを実行するようにサイト管理者を騙して付与された偽造リクエストを介して行うことが可能になります。 | 6.3 |
CVE 2025-02-01 03:00:08.206763 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.