WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-9614 | WordPress用のConstant Contact Forms by MailMunchプラグインは、2.1.2までの全てのバージョンにおいて、URL上で適切なエスケープをせずにadd_query_argを使用しているため、Reflected Cross-Site Scriptingの脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 23:00:32.701329 |
| CVE-2024-9578 | WordPress 用 Hide Links プラグインは、1.4.2 までのすべてのバージョンにおいて、do_shortcode が comment_text フィルタを介してフックされるため、ショートコードを不正に実行される脆弱性があります。これにより、認証されていない攻撃者がターゲットサイトで利用可能な任意のショートコードを実行することが可能になります。 | 5.3 |
CVE 2025-02-20 23:00:32.700497 |
| CVE-2024-9426 | WordPress 用 Aqua SVG Sprite プラグインは、3.0.14 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-20 23:00:32.699960 |
| CVE-2024-8985 | WordPress 用の Social Proof (Testimonial) Slider プラグインは、2.2.4 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの spslider-block ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-02-20 23:00:32.699405 |
| CVE-2024-8874 | AJAX Login and Registration modal popup + inline form plugin for WordPress は、2.24 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 23:00:32.698540 |
| CVE-2024-10887 | WordPress用のNiceJobプラグインは、3.6.5までの全てのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインのショートコード(nicejob-lead、nicejob-review、nicejob-engage、nicejob-badge、nicejob-stories)を経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-20 23:00:32.697979 |
| CVE-2024-10854 | WordPress 用の Buy one click WooCommerce プラグインは、2.2.9 までのすべてのバージョンにおいて、buy_one_click_import_options AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定をインポートすることが可能になります。 | 4.3 |
CVE 2025-02-20 23:00:32.697445 |
| CVE-2024-10853 | WordPress 用の Buy one click WooCommerce プラグインは、2.2.9 までのすべてのバージョンにおいて、removeorder AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、Buy one click WooCommerce の注文を削除することが可能になります。 | 4.3 |
CVE 2025-02-20 23:00:32.696846 |
| CVE-2024-10852 | WordPress 用の Buy one click WooCommerce プラグインは、2.2.9 までのすべてのバージョンにおいて、buy_one_click_export_options AJAX アクションの機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの設定をエクスポートすることが可能になります。 | 4.3 |
CVE 2025-02-20 23:00:32.695905 |
| CVE-2024-10851 | WordPress 用の Razorpay Payment Button Plugin プラグインは、2.4.6 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 23:00:32.695300 |
| CVE-2024-10850 | WordPress 用 Razorpay Payment Button Elementor Plugin プラグインは、1.2.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 23:00:32.694473 |
| CVE-2024-10778 | BuddyPress Builder for Elementor - BuddyBuilder plugin for WordPress は、1.7.4 までのすべてのバージョンにおいて、投稿を含むことができるショートコードの制限が不十分であるため、'elementor-template' ショートコードを経由した情報漏えいの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者は、Elementor によって作成された非公開の投稿や下書きの投稿から、本来アクセスできないはずのデータを引き出すことが可能です。 | 4.3 |
CVE 2025-02-20 23:00:32.693797 |
| CVE-2024-10717 | WordPress 用 Styler for Ninja Forms プラグインは、3.3.4 までのすべてのバージョンにおいて、deactivate_license 関数のケイパビリティチェックが欠落しているため、不正なデータ改変によるサービス拒否の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプション値を削除することが可能になります。これを利用して、サイトにエラーを発生させるようなオプションを削除し、正当なユーザのサービスを拒否することができます。注意: この問題は、空の値で任意のオプションを追加するためにも利用できます。 | 6.5 |
CVE 2025-02-20 23:00:32.692842 |
| CVE-2024-10629 | WordPress 用 GPX Viewer プラグインは、2.2.8 までのすべてのバージョンにおいて、gpxv_file_upload() 関数の機能チェックとファイルタイプ検証の欠落により、任意のファイルを作成する脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルを作成し、リモートでコードを実行できる可能性があります。 | 8.8 |
CVE 2025-02-20 23:00:32.691875 |
| CVE-2024-10577 | 胖鼠采集(Fat Rat Collect) 微信知乎简书腾讯新闻列表分页采集、7.3.これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 23:00:32.690911 |
| CVE-2024-10038 | WordPress 用 WP-Strava プラグインは、2.12.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 6.1 |
CVE 2025-02-20 23:00:32.685951 |
| CVE-2024-10245 | WordPress 用 Relais 2FA プラグインは、1.0 までのバージョンにおいて、認証バイパスの脆弱性があります。これは、'rl_do_ajax'関数における不正な認証とケイパビリティチェックによるものです。これにより、認証されていない攻撃者は、電子メールにアクセスできる場合、管理者のようなサイト上の既存のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-02-20 09:00:18.612242 |
| CVE-2021-4448 | WordPress 用 Kaswara Modern VC Addons プラグインは、3.0.1 までのバージョンにおいて、様々な AJAX アクションの機能チェックが不十分であるため、認証バイパスの脆弱性があります。これにより、認証されていない攻撃者が、データのインポート、任意のファイルのアップロード、任意のファイルの削除など、さまざまな不正なアクションを実行することが可能になります。 | 7.3 |
CVE 2025-02-20 03:00:25.371503 |
| CVE-2024-10323 | WordPress 用 JetWidgets For Elementor プラグインは、1.0.18 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、REST API の SVG ファイルアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-20 03:00:25.254047 |
| CVE-2024-10179 | スリックストリーム：WordPress 用のプラグイン Slickstream: Engagement and Conversions には、1.4.4 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの slick-grid ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-20 03:00:25.252810 |
| CVE-2024-9836 | 3.0.0以前のRSS Feed Widget WordPressプラグインは、ショートコードを埋め込むページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしません。 | 5.9 |
CVE 2025-02-20 03:00:25.250015 |
| CVE-2024-9835 | 3.0.1より前のRSS Feed Widget WordPressプラグインでは、$_SERVER['REQUEST_URI']パラメータをエスケープしてから属性に出力していないため、古いウェブブラウザでReflected Cross-Site Scriptingが発生する可能性があります。 | 4.8 |
CVE 2025-02-20 03:00:25.248801 |
| CVE-2024-9357 | WordPress 用 xili-tidy-tags プラグインは、1.12.04 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'action' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 03:00:25.247592 |
| CVE-2024-10790 | WordPress 用の Admin and Site Enhancements (ASE) プラグインは、7.5.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、カスタムレベル以上のアクセス権を持つ認証された攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。この機能を悪用するためには、特定のロールが有効になっている必要があります。 | 5.4 |
CVE 2025-02-20 03:00:25.246592 |
| CVE-2024-10695 | WordPress 用 Futurio Extra プラグインは、2.0.13 までのすべてのバージョンにおいて、投稿を含めることができるショートコードの制限が不十分であるため、「elementor-template」ショートコードを経由した情報漏えいの脆弱性があります。このため、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、アクセスすべきではないプライベート投稿や下書き投稿からデータを抽出することが可能になってしまいます。 | 4.3 |
CVE 2025-02-20 03:00:25.245946 |
| CVE-2024-10685 | WordPress 用 Contact Form 7 Redirect & Thank You Page プラグインは、1.0.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'tab' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-20 03:00:25.245313 |
| CVE-2024-10672 | WordPress 用の Multiple Page Generator Plugin - MPG プラグインは、4.0.2 までのすべてのバージョンにおいて、 mpg_upsert_project_source_block() 関数のファイルパスの検証が不十分なため、 任意のファイルを削除される脆弱性があります。このため、エディタレベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の限られたファイルを削除することが可能です。 | 2.7 |
CVE 2025-02-20 03:00:25.244519 |
| CVE-2024-10538 | WordPress 用 Elementor プラグイン Happy Addons には、入力のサニタイズと出力のエスケープが不十分なため、3.12.5 までのすべてのバージョンにおいて、Image Comparison ウィジェットの before_label パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-20 03:00:25.241948 |
| CVE-2019-25215 | WordPress 用 ARI-Adminer プラグインは、1.1.14 までのバージョンにおいて、プラグインのほぼすべてのファイルにファイルアクセス制御がないため、認証バイパスに対する脆弱性があります。このため、認証されていない攻撃者がファイルを直接呼び出し、サイトのデータベースにアクセスして変更を加えるなど、さまざまな不正なアクションを実行することが可能です。 | 7.3 |
CVE 2025-02-19 23:00:21.834755 |
| CVE-2024-9061 | WP Popup Builder - Popup Forms and Marketing Lead Generation plugin for WordPress は、1.3.5 までのすべてのバージョンにおいて、 wp_ajax_nopriv_shortcode_Api_Add AJAX アクションを経由して任意のショートコードを実行される脆弱性があります。これは、do_shortcodeを実行する前に値を適切に検証しないアクションをユーザが実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。注意: この脆弱性はバージョン 1.3.5 で nonce チェックにより部分的に修正されました。しかし、バージョン1.3.6では、不正アクセスを防ぐための正しい認証チェックが組み込まれています。 | 7.3 |
CVE 2025-02-18 09:00:37.494590 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.