WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2023-6222 3.4.2.1より前のQuttera Web Malware Scanner WordPressプラグインは、パスに使用されたユーザー入力を検証しないため、管理者ロールを持つユーザーにパストラバーサル攻撃を実行される可能性がある。 7.2 CVE
2024-03-27 09:00:04.710623
CVE-2023-6203 6.2.8.1以前のEvents Calendar WordPressプラグインは、細工されたリクエストを経由して、パスワードで保護された投稿の内容を認証されていないユーザーに開示します。 7.5 CVE
2024-03-27 09:00:04.709850
CVE-2023-6065 3.4.2.1以前のQuttera Web Malware Scanner WordPressプラグインは、詳細なスキャンログへのアクセスを制限していないため、悪意のある行為者がローカルパスやサイトのコードの一部を発見することができる。 5.3 CVE
2024-03-27 09:00:04.707914
CVE-2023-5949 3.8.3以前のSmartCrawl WordPressプラグインは、パスワードで保護された投稿のコンテンツに権限のないユーザーがアクセスすることを防止しません。 7.5 CVE
2024-03-27 09:00:04.706983
CVE-2023-5886 Export any WordPress data to XML/CSV WordPress plugin before 1.4.0, WP All Export Pro WordPress plugin before 1.8.6 は、リクエストライフサイクルの早い段階で nonce トークンを十分にチェックしていないため、ファイルをアップロードする能力を持つ攻撃者が、ログインしているユーザーに PHAR のデシリアライゼーションにつながる不要なアクションを実行させ、リモートコードの実行につながる可能性がある。 8.8 CVE
2024-03-27 09:00:04.706119
CVE-2023-5882 Export any WordPress data to XML/CSV WordPress plugin before 1.4.0, WP All Export Pro WordPress plugin before 1.8.6 は、リクエストライフサイクルの早い段階で nonce トークンを十分にチェックしていないため、攻撃者はログインしたユーザーにリモートコード実行につながる不要なアクションを実行させることができます。 8.8 CVE
2024-03-27 09:00:04.705216
CVE-2023-5348 5.0.3以前のWordPressプラグインProduct Catalog Mode For WooCommerceは、設定の更新を適切に認証せず、設定値をエスケープしないため、認証されていないユーザーによる保存されたXSSにつながります。 6.1 CVE
2024-03-27 09:00:04.704361
CVE-2023-5005 3.0 より前の Autocomplete Location field Contact Form 7 WordPress プラグイン、2.0 より前の autocomplete-location-field-contact-form-7-pro WordPress プラグインは設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html 機能が許可されていない場合でも (マルチサイト設定などで)、管理者などの高権限ユーザが Stored クロスサイトスクリプティング攻撃を行える可能性があります。 4.8 CVE
2024-03-27 09:00:04.703504
CVE-2023-4724 Export any WordPress data to XML/CSV WordPress plugin before 1.4.0, WP All Export Pro WordPress plugin before 1.8.6 は `wp_query` パラメータの検証とサニタイズを行っていないため、攻撃者はリモートサーバー上で任意のコマンドを実行することができる。 7.2 CVE
2024-03-27 09:00:04.702362
CVE-2023-4311 Vrm 360 3D Model Viewer WordPress プラグイン 1.2.1 には、プラグインのショートコードのチェックが不十分なため、任意のファイルをアップロードされる脆弱性があります。 8.8 CVE
2024-03-27 09:00:04.685350
CVE-2023-4800 3.7.1以前のDoLogin Security WordPressプラグインは、ログインに失敗したIPを表示するウィジェットのアクセスを低特権ユーザーに制限していません。 6.5 CVE
2024-03-27 03:00:07.567042
CVE-2023-4930 11.4.3より前のFront End PM WordPressプラグインは、プライベートメッセージの添付ファイルを保存するディレクトリの内容をリストアップすることをブロックしないため、ウェブサーバーの自動インデックス機能が有効になっている場合、認証されていない訪問者がプライベートな添付ファイルをリストアップし、ダウンロードすることができます。 6.5 CVE
2024-03-26 23:00:04.602090
CVE-2023-5821 WordPress 用 Thumbnail carousel slider プラグインは、バージョン 1.0 において Cross-Site Request Forgery の脆弱性があります。これは deleteselected 関数の nonce バリデーションが欠落しているためです。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストによってスライダーを一括削除することが可能になります。 6.5 CVE
2024-03-26 09:00:19.495519
CVE-2023-5070 WordPress 用の Social Media Share Buttons & Social Sharing Icons プラグインは、2.8.5 までのバージョンにおいて、 sfsi_save_export 関数経由で機密情報漏洩の脆弱性があります。これは、ソーシャルメディア認証トークンやシークレット、アプリのパスワードを含むプラグインの設定を、購読者がエクスポートできるようにする可能性があります。 6.5 CVE
2024-03-26 03:00:36.617433
CVE-2023-5438 WordPress の wp image slideshow プラグインは、12.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 6.5 CVE
2024-03-25 23:00:12.759399
CVE-2023-4274 WordPress 用 Migration, Backup, Staging - WPvivid プラグインは、0.9.89 までのバージョンにおいて Directory Traversal の脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者がサーバ上の任意のディレクトリの内容を削除することが可能となり、共有環境では致命的な問題となります。 6.5 CVE
2024-03-25 09:00:06.189642
CVE-2023-6559 WordPress 用プラグイン MW WP Form には、5.0.3 までのすべてのバージョンにおいて、 任意のファイルを削除する脆弱性があります。これはプラグインがアップロードされたファイルを削除する前にそのパスを適切に検証しないためです。これにより、認証されていない攻撃者が wp-config.php ファイルを含む任意のファイルを削除することが可能となり、サイトの乗っ取りやリモートコードの実行が可能となります。 9.8 CVE
2024-03-25 09:00:06.056022
CVE-2023-6160 LifterLMS - WordPress LMS Plugin for eLearning plugin for WordPress には、7.4.2 までのバージョンにおいて、maybe_serve_export 関数を経由したディレクトリトラバーサルの脆弱性があります。これにより、管理者または LMS 管理者以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意の CSV ファイルの内容を読み取ることが可能になり、機密情報を含む可能性のあるファイルをサーバから削除することができます。 6.7 CVE
2024-03-25 03:00:04.025228
CVE-2023-49744 Gift Up Gift Cards for WordPress and WooCommerce におけるクロスサイトリクエストフォージェリ (CSRF) の脆弱性この問題は、Gift Up Gift Cards for WordPress and WooCommerce: n/a から 2.21.3 に影響します。 8.8 CVE
2024-03-24 09:00:04.171561
CVE-2023-49187 Spoonthemes Adifier - Classified Ads WordPress Themeにおけるウェブページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性により、Reflected XSSが可能です。この問題は、Adifier - Classified Ads WordPress Theme: n/a 3.1.4より前のバージョンに影響します。 6.1 CVE
2024-03-24 09:00:04.170725
CVE-2023-49170 Captainforms by CaptainForm - Form Builder for WordPress にウェブページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性(Reflected XSS)が存在します。この問題は Forms by CaptainForm - Form Builder for WordPress: n/a から 2.5.3 までのバージョンに影響します。 6.1 CVE
2024-03-24 09:00:04.169860
CVE-2023-6553 WordPress 用 Backup Migration プラグインには、1.3.7 までのすべてのバージョンにおいて /includes/backup-heart.php ファイルを経由したリモートコード実行の脆弱性があります。これは、攻撃者がインクルードに渡される値を制御し、リモートでコードを実行するためにその値を利用することができるためです。これにより、認証されていない攻撃者がサーバー上で簡単にコードを実行できるようになります。 9.8 CVE
2024-03-24 09:00:04.166843
CVE-2023-6827 WordPress 用 Essential Real Estate プラグインは、4.3.5 までのバージョンにおいて、'ajaxUploadFonts' 関数のファイルタイプ検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。これにより、サブスクライバーレベル以上の能力を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 8.8 CVE
2024-03-24 03:00:04.419572
CVE-2023-6826 WordPress 用 E2Pdf プラグインは、1.20.25 までのバージョンにおいて、 'import_action' 関数のファイルタイプ検証が不十分なため、 任意のファイルをアップロードされる脆弱性があります。このため、管理者が以前にプラグインへのアクセスを許可したロールを持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 7.2 CVE
2024-03-24 03:00:04.417042
CVE-2023-49841 FancyThemes Optin Forms - Simple List Building Plugin for WordPress のウェブページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性により、保存された XSS が可能です。この問題は Optin Forms - Simple List Building Plugin for WordPress: n/a から 1.3.3 に影響します。 4.8 CVE
2024-03-23 09:00:04.255634
CVE-2023-49833 この問題は、Spectra - WordPress Gutenberg Blocks: n/a から 2.7.9 までのバージョンに影響します。 5.4 CVE
2024-03-23 09:00:04.255064
CVE-2023-49827 PenciDesign Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress Theme のウェブページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性により、Reflected XSS が可能です。この問題は Soledad - Multipurpose, Newspaper, Blog & WooCommerce WordPress Theme: n/a から 8.4.1 に影響します。 6.1 CVE
2024-03-23 09:00:04.254394
CVE-2023-49168 WordPlusのBetter Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBossにおけるWebページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性は、Stored XSSを可能にします。この問題は、Better Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBoss: n/a から 2.4.0 に影響します。 5.4 CVE
2024-03-23 09:00:04.253557
CVE-2023-50371 この問題は、Advanced Page Visit Counter - Most Wanted Analytics Plugin for WordPress: n/a から 8.0.6 にある、Advanced Page Visit Counter - Most Wanted Analytics Plugin for WordPress: n/a から 8.0.6 にある、Advanced Page Visit Counter - Most Wanted Analytics Plugin for WordPress: n/a から 8.0.6 にある、Advanced Page Visit Counter - Most Wanted Analytics Plugin for WordPress: n/a から 8.0.6 に影響を及ぼします。 5.4 CVE
2024-03-23 09:00:04.251039
CVE-2023-6449 WordPress 用 Contact Form 7 プラグインは、5.8.3 までのバージョンにおいて、'validate' 関数におけるファイルタイプ検証の不十分さ、および 'wpcf7_antiscript_file_name' 関数におけるブロックリストの不十分さにより、任意のファイルをアップロードされる脆弱性があります。これにより、エディタレベル以上の能力を持つ認証された攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能になりますが、htaccessの設定により、ほとんどの場合リモートコードは実行されません。デフォルトでは、ファイルはサーバーから直ちに削除されます。しかし、場合によっては、他のプラグインによってファイルがサーバ上に長く存在する可能性があります。これは、ローカル・ファイル・インクルージョンなどの他の脆弱性と組み合わされた場合に、リモート・コードの実行を可能にする可能性があります。 7.2 CVE
2024-03-20 09:00:04.920514
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.