見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
---|---|---|---|
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
CVE-2023-7070 | WordPress 用の Email Encoder - Protect Email Addresses and Phone Numbers プラグインは、2.1.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの eeb_mailto ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-03-28 09:00:04.964822 |
CVE-2023-7048 | WordPress 用 My Sticky Bar プラグインには、2.6.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、mystickymenu-contact-leads.php の nonce 検証の欠落または不正確さによるものです。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、コンタクトリードを含むCSVファイルのエクスポートをトリガーすることが可能です。CSV ファイルは公開された場所にエクスポートされるため、エクスポート機能によって自動的に削除されるまでのごく短時間の間にダウンロードされる可能性があります。 | 4.3 |
CVE 2024-03-28 09:00:04.964193 |
CVE-2023-7019 | WordPress 用 LightStart - Maintenance Mode, Coming Soon and Landing Page Builder プラグインは、2.6.8 までのすべてのバージョンにおいて、insert_template 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ページのデザインを変更することが可能です。 | 4.3 |
CVE 2024-03-28 09:00:04.963610 |
CVE-2023-6994 | WordPress 用 List category posts プラグインは、0.89.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'catlist' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-03-28 09:00:04.962969 |
CVE-2023-6990 | Weaver Xtreme の WordPress 用テーマには、6.3.0 までのすべてのバージョンにおいて、ユーザが提供したメタデータ (ページヘッドコード) の入力サニタイズと出力エスケープが不十分なため、カスタム投稿メタデータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-03-28 09:00:04.962341 |
CVE-2023-6988 | WordPress 用 Colibri Page Builder プラグインは、1.0.239 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの extend_builder_render_js ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-03-28 09:00:04.961578 |
CVE-2023-6979 | WordPress 用 WooCommerce プラグイン Customer Reviews には、5.38.9 までのすべてのバージョンにおいて、ivole_import_upload_csv AJAX アクションのファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2024-03-28 09:00:04.960983 |
CVE-2023-6934 | WordPress 用の Limit Login Attempts Reloaded プラグインは、2.25.26 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-03-28 09:00:04.960390 |
CVE-2023-6924 | WordPress 用 Photo Gallery by 10Web プラグインは、1.8.18 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。また、ページビルダー・プラグインの投稿者レベルの権限でも悪用可能です。 | 4.8 |
CVE 2024-03-28 09:00:04.959797 |
CVE-2023-6882 | WordPress 用 Simple Membership プラグインは、4.3.8 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'environment_mode' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-03-28 09:00:04.959239 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.