WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2023-4598 | WordPress 向け Slimstat Analytics プラグインには、ユーザーが提供するパラメーターのエスケープが不十分で、既存の SQL クエリーの準備が十分でないため、5.0.9 までのバージョンでプラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-03 23:00:05.258537 |
| CVE-2023-5430 | WordPress 用の Jquery ニュースティッカープラグインは、3.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-03 09:00:04.829388 |
| CVE-2023-5429 | WordPress 用の Information Reel プラグインは、10.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-03 03:00:08.801599 |
| CVE-2023-5336 | iPanorama 360 - WordPress Virtual Tour Builder プラグインは、1.8.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-02 23:00:04.779048 |
| CVE-2023-5428 | WordPress 用の Image vertical reel scroll slideshow プラグインは、9.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-02 09:00:12.190489 |
| CVE-2023-5412 | WordPress 用 Image 水平リールスクロールスライドショープラグインは、13.2 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-02 03:00:08.896091 |
| CVE-2023-5105 | 22.6以前のFrontend File Manager Plugin WordPressプラグインには、Editor+ユーザーがファイルダウンロードロジックをバイパスし、`wp-config.php`などのファイルをダウンロードできる脆弱性があります。 | 6.5 |
CVE 2024-04-01 09:00:06.082282 |
| CVE-2023-6744 | WordPress 用の Divi テーマには、4.23.1 までのすべてのバージョンにおいて、ユーザが提供したカスタムフィールドデータに対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'et_pb_text' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 5.4 |
CVE 2024-04-01 09:00:05.948525 |
| CVE-2020-36769 | WordPress 用 Widget Settings Importer/Exporter プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.5.3 までのバージョンにおいて wp_ajax_import_widget_dataparameter AJAX アクションを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、サブスクライバ・レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-04-01 09:00:05.945769 |
| CVE-2023-5990 | 3.4.2以前のWordPressプラグインInteractive Contact Form and Multi Step Form Builder with Drag & Drop Editorは、削除や複製などのフォームアクションの一部にCSRFチェックがないため、CSRF攻撃によってログインした管理者にそのようなアクションを実行させることができる。 | 6.5 |
CVE 2024-03-31 23:00:04.515261 |
| CVE-2023-7002 | WordPress 用 Backup Migration プラグインは、1.3.9 までのすべてのバージョンにおいて、'url' パラメータを経由した OS コマンドインジェクションの脆弱性があります。この脆弱性により、管理者レベル以上の権限を持つ認証済みの攻撃者が、ホストのオペレーティングシステム上で任意のコマンドを実行することが可能になります。 | 7.2 |
CVE 2024-03-31 23:00:04.401768 |
| CVE-2023-6972 | WordPress 用 Backup Migration プラグインは、1.3.9 までのすべてのバージョンにおいて、'content-backups' および 'content-name'、'content-manifest'、または 'content-bmitmp' および 'content-identy' HTTP ヘッダを経由した Path Traversal の脆弱性があります。これにより、認証されていない攻撃者が wp-config.php ファイルを含む任意のファイルを削除することが可能となり、サイトの乗っ取りやリモートでのコード実行が可能となります。 | 9.8 |
CVE 2024-03-31 23:00:04.400831 |
| CVE-2023-6971 | WordPress 用 Backup Migration プラグインは、バージョン 1.0.8 から 1.3.9 において、HTTP ヘッダ 'content-dir' を経由したリモートファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバー上のリモートファイルをインクルードすることが可能となり、結果としてコードが実行されます。注意: この脆弱性を悪用するには、対象となるサーバーの php.ini が 'allow_url_include' を 'on' に設定する必要があります。この機能は PHP 7.4 で廃止予定となり、デフォルトでは無効になっていますが、 それ以降のバージョンの PHP では明示的に有効にすることが可能です。 | 9.8 |
CVE 2024-03-31 23:00:04.398288 |
| CVE-2023-5979 | 3.3.26以前のeCommerce Product Catalog Plugin for WordPressプラグインでは、管理ページの一部にCSRFチェックがないため、CSRF攻撃により、ログインしたユーザーにすべての商品を削除するなどの不要なアクションを実行させられる可能性があります。 | 6.5 |
CVE 2024-03-31 09:00:04.790577 |
| CVE-2023-50828 | この問題は、Ultimate Dashboard - Custom WordPress Dashboard の n/a から 3.7.11 までのバージョンに影響します。 | 4.8 |
CVE 2024-03-30 09:00:04.228072 |
| CVE-2023-50824 | この問題は、Insert or Embed Articulate Content into WordPress: n/aから4.3000000021まで、WordPressへのArticulateコンテンツの挿入または埋め込みに影響します。 | 5.4 |
CVE 2024-03-30 09:00:04.227425 |
| CVE-2023-49162 | この問題は、BigCommerce For WordPress の n/a から 5.0.6 までのバージョンに影響します。 | 7.5 |
CVE 2024-03-30 09:00:04.226723 |
| CVE-2023-48288 | この問題は、WordPress Job Board and Recruitment Plugin - JobWP の n/a から 2.1 に影響します。 | 7.5 |
CVE 2024-03-30 09:00:04.226007 |
| CVE-2023-28421 | Winwar Media WordPress Email Marketing Plugin - WP Email Capture の脆弱性により、許可されていない行為者に機密情報が公開されます。この問題は、WordPress Email Marketing Plugin - WP Email Capture: n/a から 3.10 に影響します。 | 7.5 |
CVE 2024-03-30 09:00:04.225196 |
| CVE-2023-49826 | この問題は、PenciDesign Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress Theme: Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress Theme: n/a から 8.4.1 に影響します。 | 9.8 |
CVE 2024-03-30 09:00:04.222546 |
| CVE-2023-29384 | この問題は、WordPress の求人広告・採用プラグイン - JobWP の n/a から 2.0 に影響します。 | 9.8 |
CVE 2024-03-29 09:00:03.740279 |
| CVE-2023-49752 | この問題は、Adifier - Classified Ads WordPress Theme: n/a 3.1.4 より前のバージョンに影響します。 | 9.8 |
CVE 2024-03-29 09:00:03.739676 |
| CVE-2023-29432 | Favethemes Houzez - Real Estate WordPress Theme に SQL コマンドで使用される特殊要素の不適切な中和（「SQL インジェクション」）の脆弱性が存在します。この問題は Houzez - Real Estate WordPress Theme: n/a 2.8.3 より前のバージョンに影響します。 | 9.8 |
CVE 2024-03-29 09:00:03.738998 |
| CVE-2023-29096 | BestWebSoft Contact Form to DB by BestWebSoft - Messages Database Plugin For WordPress に SQL コマンドで使用される特殊要素の不適切な中和('SQL インジェクション')の脆弱性 この問題は BestWebSoft Contact Form to DB by BestWebSoft - Messages Database Plugin For WordPress: n/a から 1.7.0 に影響します。 | 8.8 |
CVE 2024-03-29 09:00:03.738385 |
| CVE-2023-28788 | この問題は、Advanced Page Visit Counter - Most Wanted Analytics Plugin for WordPress の n/a から 6.4.2 に影響します。 | 8.8 |
CVE 2024-03-29 09:00:03.737792 |
| CVE-2022-47599 | Bit Form Team による File Manager における信頼できないデータのデシリアライズの脆弱性 File Manager - 100% Free & Open Source File Manager Plugin for WordPress | Bit File Manager.This issue affects File Manager - 100% Free & Open Source File Manager Plugin for WordPress | Bit File Manager: n/a から 5.2.7. | 7.2 |
CVE 2024-03-29 09:00:03.737086 |
| CVE-2023-30750 | CreativeMindsSolutions CM Popup Plugin for WordPress における SQL コマンドで使用される特殊要素の不適切な中和（「SQL インジェクション」）の脆弱性この問題は、CM Popup Plugin for WordPress: n/a から 1.5.10 に影響します。 | 8.1 |
CVE 2024-03-29 09:00:03.736403 |
| CVE-2023-49825 | PenciDesign Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress ThemeにおけるSQLコマンドで使用される特殊要素の不適切な中和（「SQLインジェクション」）の脆弱性この問題は、Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress Theme: n/a から 8.4.1 に影響します。 | 8.1 |
CVE 2024-03-29 09:00:03.735752 |
| CVE-2023-47236 | Avirtum iPages Flipbook For WordPress には、SQL コマンドで使用される特殊要素の不適切な中和（「SQL インジェクション」）の脆弱性があります。この問題は、iPages Flipbook For WordPress の n/a から 1.4.8 に影響します。 | 4.9 |
CVE 2024-03-29 09:00:03.734940 |
| CVE-2023-38519 | この問題は、MainWP MainWP Dashboard - WordPress Manager for Multiple Websites Maintenance の n/a から 4.4.3.3 までのバージョンに影響します。 | 4.9 |
CVE 2024-03-29 09:00:03.732156 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.