WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2023-5431 WordPress の Left right image slideshow gallery プラグインは、12.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 6.5 CVE
2024-04-04 09:00:09.058517
CVE-2023-6268 1.5.4以前のJSON Content Importer WordPressプラグインは、ページに出力する前にtabパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-04-04 09:00:08.933480
CVE-2023-6250 2.74以前のBestWebSoftのLike & Share WordPressプラグインは、パスワードで保護された投稿の内容を、metaタグを介して認証されていないユーザーに公開している。 7.5 CVE
2024-04-04 09:00:08.932844
CVE-2023-6166 6.4.9.5以前のQuiz Maker WordPressプラグインは、属性でそれらを出力する前に生成されたURLをエスケープしていないため、反射クロスサイトスクリプティングにつながる 6.1 CVE
2024-04-04 09:00:08.932141
CVE-2023-6155 6.4.9.5より前のQuiz Maker WordPressプラグインは、`ays_quiz_author_user_search` AJAXアクションを適切に認証していないため、認証されていない攻撃者がシステムのユーザー検索を実行し、最終的にユーザーのメールアドレスを漏えいさせる可能性があります。 5.3 CVE
2024-04-04 09:00:08.931443
CVE-2023-6114 1.5.7.1 以前の Duplicator WordPress プラグイン、4.5.14.2 以前の Duplicator Pro WordPress プラグインは、機密データを含むファイルを一時的に保存する `backups-dup-lite/tmp` ディレクトリ(Pro バージョンでは `backups-dup-pro/tmp` ディレクトリ)の一覧を許可しません。ウェブサーバでディレクトリのリストが有効になっていると、認証されていない攻撃者がこれらの機密ファイルを発見し、アクセスすることが可能になる。 7.5 CVE
2024-04-04 09:00:08.930770
CVE-2023-5991 4.8.5以前のHotel Booking Lite WordPressプラグインは、ユーザー入力によって提供されたファイルパスを検証しておらず、また適切なCSRFおよび認証チェックも行っていないため、認証されていないユーザーがサーバー上の任意のファイルをダウンロードおよび削除することが可能です。 9.8 CVE
2024-04-04 09:00:08.930077
CVE-2023-5980 3.7より前のBSK Forms Blacklist WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合(マルチサイト設定など)でも、管理者のような高権限ユーザーにストアドクロスサイトスクリプティング攻撃を許してしまう可能性があります。 4.8 CVE
2024-04-04 09:00:08.929402
CVE-2023-5939 4.6.16以前のrtMedia for WordPress、BuddyPress、bbPress WordPressプラグインは、安全でない方法でインポートファイルの内容を読み込み、特権ユーザーによるリモートコード実行につながります。 7.2 CVE
2024-04-04 09:00:08.928702
CVE-2023-5931 4.6.16以前のrtMedia for WordPress, BuddyPress and bbPress WordPressプラグインは、アップロードされるファイルのバリデーションを行わないため、低特権アカウント(購読者など)を持つ攻撃者がサーバー上にPHPなどの任意のファイルをアップロードできる可能性がある。 8.8 CVE
2024-04-04 09:00:08.927982
CVE-2023-5674 1.1.3 より前の WP Mail Log WordPress プラグインは、SQL 文で使用する前にパラメータを適切にサニタイズおよびエスケープしません。 8.8 CVE
2024-04-04 09:00:08.927280
CVE-2023-5673 1.1.3以前のWordPressプラグイン「WP Mail Log」は、メールに添付するファイルをアップロードするファイル拡張子を適切に検証しないため、攻撃者がPHPファイルをアップロードし、リモートでコードが実行される可能性があります。 8.8 CVE
2024-04-04 09:00:08.926549
CVE-2023-5645 ー WP Mail Log WordPress プラグイン 1.1.3 以前ではー SQL ステートメントでーでーでーロールがー コントー(ー「ー ロールがー コントラントー下位のー 権限ーのー をー 権能: 権能: 権能: 権能: 権能: 権能, 権能, 権能, 権能, 権能, 権能. 8.8 CVE
2024-04-04 09:00:08.925150
CVE-2023-5644 1.1.3より前のWP Mail Log WordPressプラグインは、REST APIエンドポイントを正しく認証していないため、管理者ユーザーのみがアクセスできるはずのデータを、コントリビューターロールを持つユーザーが閲覧および削除できてしまいます。 7.6 CVE
2024-04-04 09:00:08.924311
CVE-2023-5203 1.0.9 より前の WP Sessions Time Monitoring Full Automatic WordPress プラグインは、SQL クエリで使用する前にリクエスト URL やクエリパラメータをサニタイズしていないため、認証されていない攻撃者がブラインドタイムベースの SQL インジェクション手法や、場合によってはエラー/ユニオンベースの手法によって、データベースから機密データを引き出すことができます。 7.5 CVE
2024-04-04 09:00:08.923524
CVE-2015-10127 WordPressのPlusCaptchaプラグイン2.0.6までに脆弱性が見つかりました。この問題の影響を受けるのは、いくつかの未知の機能です。この操作はクロスサイトスクリプティングにつながります。攻撃はリモートから行われる可能性があります。バージョン 2.0.14 にアップグレードすることで、この問題に対処できます。このパッチは、1274afc635170daafd38306487b6bb8a01f78ecd として特定されています。 該当するコンポーネントをアップグレードすることを推奨します。VDB-248954 は、この脆弱性に割り当てられた識別子です。 6.1 CVE
2024-04-04 09:00:08.922668
CVE-2012-10017 WordPressの2.04までのBestWebSoft Portfolio Pluginに脆弱性が見つかりました。これは問題があると分類されています。これは未知の部分に影響します。この操作はクロスサイトリクエストフォージェリにつながります。リモートから攻撃を開始することが可能です。バージョン2.06にアップグレードすることで、この問題に対処できる。パッチ名は 68af950330c3202a706f0ae9bbb52ceaa17dda9d です。影響を受けるコンポーネントをアップグレードすることを推奨します。この脆弱性の関連識別子は VDB-248955 です。 8.8 CVE
2024-04-04 09:00:08.920258
CVE-2023-47191 KaineLabs Youzify - BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress に、ユーザー制御キーによる認証バイパスの脆弱性が存在します。この問題は、Youzify - BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress: n/a から 1.2.2 に影響します。 6.5 CVE
2024-04-04 03:00:04.196683
CVE-2023-4598 WordPress 向け Slimstat Analytics プラグインには、ユーザーが提供するパラメーターのエスケープが不十分で、既存の SQL クエリーの準備が十分でないため、5.0.9 までのバージョンでプラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 6.5 CVE
2024-04-03 23:00:05.258537
CVE-2023-5430 WordPress 用の Jquery ニュースティッカープラグインは、3.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 6.5 CVE
2024-04-03 09:00:04.829388
CVE-2023-5429 WordPress 用の Information Reel プラグインは、10.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 6.5 CVE
2024-04-03 03:00:08.801599
CVE-2023-5336 iPanorama 360 - WordPress Virtual Tour Builder プラグインは、1.8.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 6.5 CVE
2024-04-02 23:00:04.779048
CVE-2023-5428 WordPress 用の Image vertical reel scroll slideshow プラグインは、9.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 6.5 CVE
2024-04-02 09:00:12.190489
CVE-2023-5412 WordPress 用 Image 水平リールスクロールスライドショープラグインは、13.2 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 6.5 CVE
2024-04-02 03:00:08.896091
CVE-2023-5105 22.6以前のFrontend File Manager Plugin WordPressプラグインには、Editor+ユーザーがファイルダウンロードロジックをバイパスし、`wp-config.php`などのファイルをダウンロードできる脆弱性があります。 6.5 CVE
2024-04-01 09:00:06.082282
CVE-2023-6744 WordPress 用の Divi テーマには、4.23.1 までのすべてのバージョンにおいて、ユーザが提供したカスタムフィールドデータに対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'et_pb_text' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 5.4 CVE
2024-04-01 09:00:05.948525
CVE-2020-36769 WordPress 用 Widget Settings Importer/Exporter プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.5.3 までのバージョンにおいて wp_ajax_import_widget_dataparameter AJAX アクションを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、サブスクライバ・レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 5.4 CVE
2024-04-01 09:00:05.945769
CVE-2023-5990 3.4.2以前のWordPressプラグインInteractive Contact Form and Multi Step Form Builder with Drag & Drop Editorは、削除や複製などのフォームアクションの一部にCSRFチェックがないため、CSRF攻撃によってログインした管理者にそのようなアクションを実行させることができる。 6.5 CVE
2024-03-31 23:00:04.515261
CVE-2023-7002 WordPress 用 Backup Migration プラグインは、1.3.9 までのすべてのバージョンにおいて、'url' パラメータを経由した OS コマンドインジェクションの脆弱性があります。この脆弱性により、管理者レベル以上の権限を持つ認証済みの攻撃者が、ホストのオペレーティングシステム上で任意のコマンドを実行することが可能になります。 7.2 CVE
2024-03-31 23:00:04.401768
CVE-2023-6972 WordPress 用 Backup Migration プラグインは、1.3.9 までのすべてのバージョンにおいて、'content-backups' および 'content-name'、'content-manifest'、または 'content-bmitmp' および 'content-identy' HTTP ヘッダを経由した Path Traversal の脆弱性があります。これにより、認証されていない攻撃者が wp-config.php ファイルを含む任意のファイルを削除することが可能となり、サイトの乗っ取りやリモートでのコード実行が可能となります。 9.8 CVE
2024-03-31 23:00:04.400831
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.