WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] [117] [118] [119] [120] [121] [122] [123] [124] [125] [126] [127] [128] [129] [130] [131] [132] [133] [134] [135] [136] [137] [138] [139] [140] [141] [142] [143] [144] [145] [146] [147] [148] [149] [150] [151] [152] [153] [154] [155] [156] [157] [158] [159] [160] [161] [162] [163] [164] [165] [166] [167] [168] [169] [170] [171] (5125)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2024-9430 WordPress 用の Get Quote For Woocommerce - Request A Quote For Woocommerce プラグインは、1.0.0 までのすべてのバージョンにおいて、ct_tepfw_wp_loaded 関数の機能チェックが欠落しているため、見積もりデータに不正アクセスされる脆弱性があります。 これにより、認証されていない攻撃者が見積もり PDF および CSV ドキュメントをダウンロードする可能性があります。 5.3 CVE
2025-02-08 03:00:05.631807
CVE-2024-9165 WordPress 用プラグイン Gift Cards (Gift Vouchers and Packages) (WooCommerce Supported) には、4.4.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 6.4 CVE
2025-02-08 03:00:05.631059
CVE-2024-9700 WordPress 用 Forminator Forms - 問い合わせフォーム、支払いフォーム、カスタムフォームビルダー プラグインは、1.36.0 までのすべてのバージョンにおいて、ユーザー制御キー 'entry_id' のバリデーションが欠落しているため、submit_quizzes() 関数経由で安全でない直接オブジェクト参照の脆弱性があります。これにより、認証されていない攻撃者が他のユーザのクイズ投稿を変更することが可能になります。 5.3 CVE
2025-02-08 03:00:05.630421
CVE-2024-10392 AI Power:WordPress 用プラグイン Complete AI Pack は、1.8.89 までのすべてのバージョンにおいて、'handle_image_upload' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 9.8 CVE
2025-02-08 03:00:05.629632
CVE-2024-9708 WordPress 用 Easy SVG Upload プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 6.4 CVE
2025-02-08 03:00:05.627242
CVE-2024-10544 WordPress 用 Woo Manage Fraud Orders プラグインは、6.1.7 までのすべてのバージョンにおいて、一般に公開されたログファイルを通して機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、公開されたログファイルに含まれるユーザーに関する潜在的にセンシティブな情報を閲覧することが可能になります。 5.3 CVE
2025-02-07 23:00:07.284335
CVE-2024-9388 WordPress 用 Black Widgets For Elementor プラグインは、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 6.4 CVE
2025-02-07 09:00:19.367277
CVE-2024-8512 WordPress 用 W3SPEEDSTER プラグインには、7.26 までのすべてのバージョンにおいて、 hookBeforeStartOptimization() 関数の 'script' パラメータを経由したリモートコード実行の脆弱性があります。これは、プラグインが eval() にユーザからの入力を渡すためです。これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者がサーバ上でコードを実行することが可能になります。 9.1 CVE
2025-02-07 09:00:19.364890
CVE-2024-8444 3.3.00以前のDownload Manager WordPressプラグインは、ショートコードのパラメータの一部をサニタイズしていないため、クロスサイトスクリプティングが発生します。 5.4 CVE
2025-02-07 03:00:55.631810
CVE-2024-10223 WordPress 用プラグイン WP Team - WordPress Team Member Plugin には、1.1.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの htteamember ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-07 03:00:55.630707
CVE-2024-10108 WordPress 用 WPAdverts - Classifieds Plugin プラグインは、2.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインの adverts_add ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 7.2 CVE
2025-02-07 03:00:55.629725
CVE-2024-8871 Pricing Tables WordPress Plugin - Easy Pricing Tables plugin for WordPress は、3.2.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 6.1 CVE
2025-02-07 03:00:55.629055
CVE-2024-10399 WordPress 用 Download Monitor プラグインは、5.0.13 までのすべてのバージョンにおいて、ajax_search_users 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サイトユーザのユーザ名と電子メールを取得することが可能です。 4.3 CVE
2025-02-07 03:00:55.628059
CVE-2024-9886 WordPress 用の WP Baidu Map プラグインは、1.2.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'baidu_map' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-07 03:00:55.627054
CVE-2024-9885 WordPress 用 Widget または Sidebar Shortcode プラグインは、0.6.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sidebar' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-07 03:00:55.625903
CVE-2024-9884 WordPress 用の T(-) Countdown プラグインは、2.4.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'tminus' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-07 03:00:55.625232
CVE-2024-9846 WordPress 用の Enable Shortcodes inside Widgets,Comments and Experts プラグインは、1.0.0 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。 これは、do_shortcode を実行する前に値を適切に検証しないアクションをユーザーに実行させるソフトウェアが原因です。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 7.3 CVE
2025-02-07 03:00:55.624304
CVE-2024-8792 WordPress の Subscribe to Comments プラグインは、2.3 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合に、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 6.1 CVE
2025-02-07 03:00:55.623207
CVE-2024-8627 WordPress用のUltimate TinyMCEプラグインは、入力のサニタイズと出力のエスケープが不十分なため、5.7までのすべてのバージョンにおいて、'field'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-07 03:00:55.622489
CVE-2023-5816 WordPress 用 Code Explorer プラグインは、1.4.5 までのすべてのバージョンにおいて、任意の外部ファイルを読み取る脆弱性があります。これは、プラグインが WordPress 関連のファイルのみにアクセスすることを意図しているにもかかわらず、WordPress インスタンス外のファイルへのアクセスを制限していないことが原因です。このため、管理者レベルのアクセス権を持つ認証済みの攻撃者が、WordPressインスタンス外のファイルを読むことが可能になってしまう。 4.9 CVE
2025-02-07 03:00:55.619595
CVE-2024-9990 WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'crypto_connect_ajax_process::check' 関数の nonce 検証の欠落によるものです。このため、認証されていない攻撃者は、サイト管理者を騙り、リンクをクリックするなどのアクションを実行させることができる偽造リクエストによって、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 8.8 CVE
2025-02-05 09:00:39.174880
CVE-2024-9989 WordPress 用 Crypto プラグインには、2.15 までのバージョンにおいて認証バイパス の脆弱性があります。これは、「crypto_connect_ajax_process」関数内の「crypto_connect_ajax_process::log_in」関数への限定的な任意のメソッド呼び出しによるものです。これにより、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 9.8 CVE
2025-02-05 09:00:39.174319
CVE-2024-9988 WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて認証バイパスに対する脆弱性があります。これは、'crypto_connect_ajax_process::register' 関数で提供されるユーザーのバリデーションが欠落しているためです。このため、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者などのサイト上の既存ユーザーとしてログインできてしまいます。 9.8 CVE
2025-02-05 09:00:39.173761
CVE-2024-50466 DarkMySite DarkMySite - Advanced Dark Mode Plugin for WordPress darkmysite にクロスサイトリクエストフォージェリ (CSRF) の脆弱性 この問題は、DarkMySite - Advanced Dark Mode Plugin for WordPress: n/a から 1.2.8 に影響します。 4.3 CVE
2025-02-05 09:00:39.173161
CVE-2024-50459 この問題は、WordPress Stripe Donation and Payment Pluginのn/aから3.2.3までのバージョンに影響します。 5.3 CVE
2025-02-05 09:00:39.172592
CVE-2024-9505 WordPress 用 Beaver Builder - WordPress Page Builder プラグインは、2.8.4.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-05 09:00:39.171377
CVE-2024-10226 WordPress 用 Arconix Shortcodes プラグインは、2.1.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'box' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-05 09:00:39.170880
CVE-2024-10181 WordPress 用 Newsletters プラグインは、4.9.9.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの newsletters_video ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-05 09:00:39.170358
CVE-2024-10360 WordPress 用 Move Addons for Elementor プラグインには、1.3.5 までのすべてのバージョンにおいて、includes/widgets/accordion/widget.php、includes/widgets/remote-template/widget.php、およびその他の widget.php ファイルの render 関数を経由した、機密情報暴露の脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、およびドラフトテンプレートデータを抽出することが可能になります。 4.3 CVE
2025-02-05 09:00:39.169824
CVE-2024-10266 WordPress 用 Elementor プラグイン Premium Addons には、4.10.60 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Video Box ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2025-02-05 09:00:39.169300
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] [117] [118] [119] [120] [121] [122] [123] [124] [125] [126] [127] [128] [129] [130] [131] [132] [133] [134] [135] [136] [137] [138] [139] [140] [141] [142] [143] [144] [145] [146] [147] [148] [149] [150] [151] [152] [153] [154] [155] [156] [157] [158] [159] [160] [161] [162] [163] [164] [165] [166] [167] [168] [169] [170] [171] (5125)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.