WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2021-4434 WordPress 用 Social Warfare プラグインは、3.5.2 までのバージョンにおいて、'swp_url' パラメータを経由したリモートコード実行の脆弱性があります。これにより、攻撃者はサーバ上でコードを実行することができます。 9.8 CVE
2024-04-16 09:00:04.189558
CVE-2024-0405 Burst Statistics - Privacy-Friendly Analytics for WordPress プラグイン(バージョン 1.5.3)には、/wp-json/burst/v1/data/compare エンドポイントの複数の JSON パラメータを経由した Post-Authenticated SQL Injection の脆弱性があります。影響を受けるパラメータには、'browser'、'device'、'page_id'、'page_url'、'platform'、および 'referrer' が含まれます。この脆弱性は、ユーザーから提供されたパラメータのエスケープが不十分であることと、SQLクエリに十分な準備がないことに起因します。その結果、エディタアクセス以上の権限を持つ攻撃者は、既存のSQLクエリに追加のSQLクエリを追加することができ、データベースから機密情報への不正アクセスにつながる可能性があります。 6.5 CVE
2024-04-16 09:00:04.188777
CVE-2024-0239 1.2.3 より前の Contact Form 7 Connector WordPress プラグインでは、パラメータを出力する前にサニタイズとエスケープを行っておらず、管理者に悪用される可能性のある Reflected Cross-Site Scripting を引き起こしています。 6.1 CVE
2024-04-16 09:00:04.187995
CVE-2024-0238 4.5.6より前のEventON Premium WordPressプラグイン、2.2.8より前のEventON WordPressプラグインは、AJAXアクションの認可を持っておらず、更新される投稿がプラグインのものであることを保証しないため、認証されていないユーザーが任意の投稿メタデータを更新することができます。 6.1 CVE
2024-04-16 09:00:04.187282
CVE-2024-0237 4.5.8までのEventON WordPressプラグイン、2.2.7以前のEventON WordPressプラグインでは、一部のAJAXアクションで認証が行われていないため、認証されていないユーザーが、会議のURL、司会者、アクセス詳細などの仮想イベントの設定を更新することができます。 5.3 CVE
2024-04-16 09:00:04.186559
CVE-2024-0236 4.5.5より前のEventON WordPressプラグイン、2.2.7より前のEventON WordPressプラグインは、AJAXアクションの認可を持っていないため、認証されていないユーザーが任意の仮想イベントの設定を取得することができます。 5.3 CVE
2024-04-16 09:00:04.185884
CVE-2024-0235 4.5.5より前のEventON WordPressプラグイン、2.2.7より前のEventON WordPressプラグインは、AJAXアクションに認証がないため、認証されていないユーザーがブログ上のユーザーのメールアドレスを取得することができます。 5.3 CVE
2024-04-16 09:00:04.185257
CVE-2024-0233 4.5.5以前のEventON WordPressプラグイン、2.2.7以前のEventON WordPressプラグインは、ページ内でパラメータを出力する前に適切にサニタイズおよびエスケープを行わないため、管理者などの高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 6.1 CVE
2024-04-16 09:00:04.184669
CVE-2024-0187 6.3.1.2以前のCommunity by PeepSo WordPressプラグインは、様々なパラメータや生成されたURLを出力する前にサニタイズやエスケープを行わないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-04-16 09:00:04.184060
CVE-2023-7154 1.32.0より前のHubbub Lite (旧Grow Social) WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります(マルチサイト設定など)。 4.8 CVE
2024-04-16 09:00:04.183399
CVE-2023-7151 3.2以前のWordPressプラグインProduct Enquiry for WooCommerceは、属性で出力する前にページパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-04-16 09:00:04.182730
CVE-2023-7125 6.3.1.2より前のCommunity by PeepSo WordPressプラグインでは、ユーザー投稿(プロフィールページのウォールに表示される)を作成する際にCSRFチェックが行われないため、CSRF攻撃によってログインしているユーザーにそのようなアクションを実行させられる可能性がある。 4.3 CVE
2024-04-16 09:00:04.182099
CVE-2023-7084 2.0までのVoting Record WordPressプラグインは、エスケープだけでなくサニタイズも欠落しており、購読者のような認証されたユーザーがStored XSS攻撃を実行できる可能性があります。 5.4 CVE
2024-04-16 09:00:04.181581
CVE-2023-7083 2.0までのVoting Record WordPressプラグインにはCSRFチェックがない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができる。 5.4 CVE
2024-04-16 09:00:04.181000
CVE-2023-6824 8.2.1より前のWP Customer Area WordPressプラグインでは、AJAXアクションの一部でユーザーの能力を適切に検証しないため、任意のユーザーが他のユーザーのアカウントアドレスを取得できてしまいます。 6.5 CVE
2024-04-16 09:00:04.180363
CVE-2023-6741 8.2.1より前のWP Customer Area WordPressプラグインは、AJAXアクションの一部でユーザーの能力を適切に検証しないため、悪意のあるユーザーが他のユーザーのアカウントアドレスを編集できる可能性があります。 4.3 CVE
2024-04-16 09:00:04.179782
CVE-2023-6732 1.2.16以前のUltimate Maps by Supsystic WordPressプラグインは、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、管理者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-04-16 09:00:04.179229
CVE-2023-6592 2.2以前のFastDup WordPressプラグインは、エクスポートファイルを含む機密ディレクトリのディレクトリ一覧を防止しません。 5.3 CVE
2024-04-16 09:00:04.178595
CVE-2023-6373 2.20.7以前のArtPlacer Widget WordPressプラグインは、クエリを送信する前に "id "パラメータをサニタイズおよびエスケープしないため、エディタ以上がSQLIを悪用する可能性があります。注意: CSRFチェックがないため、この問題はログに記録されたエディタ(またはそれ以上)に対してCSRF経由で悪用される可能性があります。 8.8 CVE
2024-04-16 09:00:04.177824
CVE-2023-6292 6.12.5以前のEcwid Ecommerce Shopping Cart WordPressプラグインは、設定を更新する際にCSRFチェックが行われていないため、攻撃者がログインした管理者にCSRF攻撃で設定を変更させる可能性があります。 4.3 CVE
2024-04-16 09:00:04.177060
CVE-2023-6046 2.2以前のEventON WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーがStored HTMLインジェクション攻撃を実行できる可能性があります。 4.8 CVE
2024-04-16 09:00:04.176438
CVE-2023-6005 4.5.5以前のEventON WordPressプラグイン、2.2.7以前のEventON WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合(マルチサイト設定など)でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-04-16 09:00:04.175826
CVE-2023-5922 1.3.81以前のRoyal Elementor Addons and Templates WordPressプラグインは、AJAXアクション(およびRESTエンドポイント、現在プラグインでは無効)を介して投稿にアクセスするユーザーがそうする権利を持っていることを保証していないため、認証されていないユーザーが任意のドラフト、プライベート、パスワードで保護された投稿/ページのコンテンツにアクセスすることができます。 7.5 CVE
2024-04-16 09:00:04.175268
CVE-2023-5558 4.2.5.5以前のLearnPress WordPressプラグインは、ページに出力する前にユーザー入力をサニタイズおよびエスケープしないため、管理者のような高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingを引き起こします。 6.1 CVE
2024-04-16 09:00:04.174716
CVE-2023-4797 4.9.3以前のNewsletters WordPressプラグインは、SQLクエリやシェルコマンドに追加されるユーザー制御のパラメータを適切にエスケープしないため、管理者がサーバー上で任意のコマンドを実行できる可能性があります。 7.2 CVE
2024-04-16 09:00:04.174122
CVE-2023-4757 1.2.3以前のWordPressプラグイン「Staff / Employee Business Directory for Active Directory」では、LDAPサーバーから返されたデータをページ内でレンダリングする前にサニタイズおよびエスケープしていないため、LDAPディレクトリ内のエントリを制御できるユーザーが悪意のあるjavascriptを注入し、サイト管理者などの高い権限を持つユーザーに対して使用できる可能性があります。 5.4 CVE
2024-04-16 09:00:04.173439
CVE-2023-4703 All in One B2B for WooCommerce WordPressプラグイン(1.0.3まで)は、ユーザー詳細を更新する際にパラメータを適切に検証しないため、認証されていない攻撃者が任意のユーザーの詳細を更新できる可能性があります。管理者ユーザのパスワードを更新すると、権限の昇格につながります。 7.5 CVE
2024-04-16 09:00:04.172840
CVE-2023-4536 1.3.2より前のMy Account Page Editor WordPressプラグインは、アップロードされるプロフィール画像を検証しないため、契約者などの認証済みユーザーが任意のファイルをサーバーにアップロードでき、RCEにつながる 8.8 CVE
2024-04-16 09:00:04.172044
CVE-2023-3771 19.0 までの T1 WordPress テーマには、認証されていないオープンリダイレクトの脆弱性があり、攻撃者はユーザーを任意のウェブサイトにリダイレクトすることができます。 6.1 CVE
2024-04-16 09:00:04.171432
CVE-2023-3647 3.2.3以前のIURNY by INDIGITALL WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります(マルチサイト設定など)。 4.8 CVE
2024-04-16 09:00:04.170885
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.