見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
---|---|---|---|
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
CVE-2024-9430 | WordPress 用の Get Quote For Woocommerce - Request A Quote For Woocommerce プラグインは、1.0.0 までのすべてのバージョンにおいて、ct_tepfw_wp_loaded 関数の機能チェックが欠落しているため、見積もりデータに不正アクセスされる脆弱性があります。 これにより、認証されていない攻撃者が見積もり PDF および CSV ドキュメントをダウンロードする可能性があります。 | 5.3 |
CVE 2025-02-08 03:00:05.631807 |
CVE-2024-9165 | WordPress 用プラグイン Gift Cards (Gift Vouchers and Packages) (WooCommerce Supported) には、4.4.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-08 03:00:05.631059 |
CVE-2024-9700 | WordPress 用 Forminator Forms - 問い合わせフォーム、支払いフォーム、カスタムフォームビルダー プラグインは、1.36.0 までのすべてのバージョンにおいて、ユーザー制御キー 'entry_id' のバリデーションが欠落しているため、submit_quizzes() 関数経由で安全でない直接オブジェクト参照の脆弱性があります。これにより、認証されていない攻撃者が他のユーザのクイズ投稿を変更することが可能になります。 | 5.3 |
CVE 2025-02-08 03:00:05.630421 |
CVE-2024-10392 | AI Power:WordPress 用プラグイン Complete AI Pack は、1.8.89 までのすべてのバージョンにおいて、'handle_image_upload' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-02-08 03:00:05.629632 |
CVE-2024-9708 | WordPress 用 Easy SVG Upload プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-08 03:00:05.627242 |
CVE-2024-10544 | WordPress 用 Woo Manage Fraud Orders プラグインは、6.1.7 までのすべてのバージョンにおいて、一般に公開されたログファイルを通して機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、公開されたログファイルに含まれるユーザーに関する潜在的にセンシティブな情報を閲覧することが可能になります。 | 5.3 |
CVE 2025-02-07 23:00:07.284335 |
CVE-2024-9388 | WordPress 用 Black Widgets For Elementor プラグインは、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-07 09:00:19.367277 |
CVE-2024-8512 | WordPress 用 W3SPEEDSTER プラグインには、7.26 までのすべてのバージョンにおいて、 hookBeforeStartOptimization() 関数の 'script' パラメータを経由したリモートコード実行の脆弱性があります。これは、プラグインが eval() にユーザからの入力を渡すためです。これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者がサーバ上でコードを実行することが可能になります。 | 9.1 |
CVE 2025-02-07 09:00:19.364890 |
CVE-2024-8444 | 3.3.00以前のDownload Manager WordPressプラグインは、ショートコードのパラメータの一部をサニタイズしていないため、クロスサイトスクリプティングが発生します。 | 5.4 |
CVE 2025-02-07 03:00:55.631810 |
CVE-2024-10223 | WordPress 用プラグイン WP Team - WordPress Team Member Plugin には、1.1.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの htteamember ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.630707 |
CVE-2024-10108 | WordPress 用 WPAdverts - Classifieds Plugin プラグインは、2.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインの adverts_add ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-02-07 03:00:55.629725 |
CVE-2024-8871 | Pricing Tables WordPress Plugin - Easy Pricing Tables plugin for WordPress は、3.2.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-07 03:00:55.629055 |
CVE-2024-10399 | WordPress 用 Download Monitor プラグインは、5.0.13 までのすべてのバージョンにおいて、ajax_search_users 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サイトユーザのユーザ名と電子メールを取得することが可能です。 | 4.3 |
CVE 2025-02-07 03:00:55.628059 |
CVE-2024-9886 | WordPress 用の WP Baidu Map プラグインは、1.2.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'baidu_map' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.627054 |
CVE-2024-9885 | WordPress 用 Widget または Sidebar Shortcode プラグインは、0.6.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sidebar' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.625903 |
CVE-2024-9884 | WordPress 用の T(-) Countdown プラグインは、2.4.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'tminus' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.625232 |
CVE-2024-9846 | WordPress 用の Enable Shortcodes inside Widgets,Comments and Experts プラグインは、1.0.0 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。 これは、do_shortcode を実行する前に値を適切に検証しないアクションをユーザーに実行させるソフトウェアが原因です。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-02-07 03:00:55.624304 |
CVE-2024-8792 | WordPress の Subscribe to Comments プラグインは、2.3 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合に、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 | 6.1 |
CVE 2025-02-07 03:00:55.623207 |
CVE-2024-8627 | WordPress用のUltimate TinyMCEプラグインは、入力のサニタイズと出力のエスケープが不十分なため、5.7までのすべてのバージョンにおいて、'field'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.622489 |
CVE-2023-5816 | WordPress 用 Code Explorer プラグインは、1.4.5 までのすべてのバージョンにおいて、任意の外部ファイルを読み取る脆弱性があります。これは、プラグインが WordPress 関連のファイルのみにアクセスすることを意図しているにもかかわらず、WordPress インスタンス外のファイルへのアクセスを制限していないことが原因です。このため、管理者レベルのアクセス権を持つ認証済みの攻撃者が、WordPressインスタンス外のファイルを読むことが可能になってしまう。 | 4.9 |
CVE 2025-02-07 03:00:55.619595 |
CVE-2024-9990 | WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'crypto_connect_ajax_process::check' 関数の nonce 検証の欠落によるものです。このため、認証されていない攻撃者は、サイト管理者を騙り、リンクをクリックするなどのアクションを実行させることができる偽造リクエストによって、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 | 8.8 |
CVE 2025-02-05 09:00:39.174880 |
CVE-2024-9989 | WordPress 用 Crypto プラグインには、2.15 までのバージョンにおいて認証バイパス の脆弱性があります。これは、「crypto_connect_ajax_process」関数内の「crypto_connect_ajax_process::log_in」関数への限定的な任意のメソッド呼び出しによるものです。これにより、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-02-05 09:00:39.174319 |
CVE-2024-9988 | WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて認証バイパスに対する脆弱性があります。これは、'crypto_connect_ajax_process::register' 関数で提供されるユーザーのバリデーションが欠落しているためです。このため、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者などのサイト上の既存ユーザーとしてログインできてしまいます。 | 9.8 |
CVE 2025-02-05 09:00:39.173761 |
CVE-2024-50466 | DarkMySite DarkMySite - Advanced Dark Mode Plugin for WordPress darkmysite にクロスサイトリクエストフォージェリ (CSRF) の脆弱性 この問題は、DarkMySite - Advanced Dark Mode Plugin for WordPress: n/a から 1.2.8 に影響します。 | 4.3 |
CVE 2025-02-05 09:00:39.173161 |
CVE-2024-50459 | この問題は、WordPress Stripe Donation and Payment Pluginのn/aから3.2.3までのバージョンに影響します。 | 5.3 |
CVE 2025-02-05 09:00:39.172592 |
CVE-2024-9505 | WordPress 用 Beaver Builder - WordPress Page Builder プラグインは、2.8.4.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.171377 |
CVE-2024-10226 | WordPress 用 Arconix Shortcodes プラグインは、2.1.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'box' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.170880 |
CVE-2024-10181 | WordPress 用 Newsletters プラグインは、4.9.9.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの newsletters_video ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.170358 |
CVE-2024-10360 | WordPress 用 Move Addons for Elementor プラグインには、1.3.5 までのすべてのバージョンにおいて、includes/widgets/accordion/widget.php、includes/widgets/remote-template/widget.php、およびその他の widget.php ファイルの render 関数を経由した、機密情報暴露の脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、およびドラフトテンプレートデータを抽出することが可能になります。 | 4.3 |
CVE 2025-02-05 09:00:39.169824 |
CVE-2024-10266 | WordPress 用 Elementor プラグイン Premium Addons には、4.10.60 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Video Box ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.169300 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.