WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] (2701)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2024-3030 WordPress 用の Announce from the Dashboard プラグインは、1.5.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 4.4 CVE
2024-07-12 23:00:05.464587
CVE-2024-3022 WordPress 用 BookingPress プラグインは、1.0.87 までのすべてのバージョンにおいて、'bookingpress_process_upload' 関数のファイル名検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。これにより、管理者レベル以上の権限を持つ攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードし、リモートでコードを実行することが可能になります。 7.2 CVE
2024-07-12 23:00:05.463583
CVE-2024-2868 WordPress用プラグイン ShopLentor - WooCommerce Builder for Elementor & Gutenberg +12 Modules - All in One Solution (旧WooLentor) には、2.8.3までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、WL Special Day Offer Widgetのslitemsパラメータを介したStored Cross-Site Scriptingの脆弱性があります。これにより、コントリビューターアクセス以上の認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 6.4 CVE
2024-07-12 23:00:05.462551
CVE-2024-2803 ElementsKit Elementor addons plugin for WordPress には、3.0.6 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、カウントダウンウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-12 23:00:05.459890
CVE-2024-29763 realmag777 WordPress Meta Data and Taxonomies Filter (MDTF) に、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、Reflected XSS を許しています。この問題は、WordPress Meta Data and Taxonomies Filter (MDTF): n/a から 1.3.3 に影響します。 7.1 CVE
2024-07-12 03:00:05.152916
CVE-2024-2879 WordPress 用 LayerSlider プラグインは、バージョン 7.9.11 と 7.10.0 の ls_get_popup_markup アクションを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、データベースから機密情報を抽出するために使用可能な追加の SQL クエリを、既に存在するクエリに追加することが可能になってしまいます。 7.5 CVE
2024-07-12 03:00:05.013655
CVE-2024-3162 WordPress 用 Jeg Elementor Kit プラグインは、2.6.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Testimonial Widget 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-12 03:00:05.012764
CVE-2024-1327 WordPress 用の Jeg Elementor Kit プラグインは、2.6.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインの画像ボックスウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-12 03:00:05.010075
CVE-2024-3061 WordPress 用プラグイン HUSKY - Products Filter Professional for WooCommerce には、1.3.5.2 までのすべてのバージョンにおいて、'type' パラメータを経由したローカルファイル インクルージョン(Local File Inclusion)の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能になり、そのファイル内の任意の PHP コードの実行が可能になります。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コードを実行したりすることが可能になります。 7.2 CVE
2024-07-11 23:00:11.318584
CVE-2024-30532 Builderall Team Builderall Builder for WordPress にサーバサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。この問題は、Builderall Builder for WordPress: n/a から 2.0.1 に影響します。 4.9 CVE
2024-07-11 09:00:08.107849
CVE-2024-1946 WordPress 用 Genesis Blocks プラグインは、3.1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ブロックコンテンツを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入し、ユーザーが注入されたページにアクセスするたびに実行することが可能になります。 6.4 CVE
2024-07-11 09:00:08.107121
CVE-2024-1807 WordPress 用の Product Sort and Display for WooCommerce プラグインは、2.4.1 までのすべてのバージョンにおいて、psad_update_product_cat_custom_meta_ajax 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が商品カテゴリを隠すことが可能になります。 6.5 CVE
2024-07-11 09:00:08.106217
CVE-2024-1732 WordPress 用 Sharkdropship for AliExpress Dropshipping and Affiliate プラグインは、2.2.4 までのすべてのバージョンにおいて wads_removeProductFromShop() 関数の機能チェックが欠落しているため、データを不正に損失する脆弱性があります。これにより、認証されていない攻撃者が任意の投稿を削除することが可能になります。 5.3 CVE
2024-07-11 09:00:08.105285
CVE-2024-2931 WordPress 用 WPFront User Role Editor プラグインは、wpfront_user_role_editor_assign_roles_user_autocomplete AJAX アクションを経由して、3.2.1.11184 までのすべてのバージョンにおいて、機密情報漏洩の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、サイトに登録されている全ユーザのメールアドレスのリストを取得することが可能になります。 4.3 CVE
2024-07-11 09:00:08.102384
CVE-2024-2948 WordPress 用 Favorites プラグインは、2.3.3 までのすべてのバージョンにおいて、'no_favorites' のようなユーザが指定した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'user_favorites' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 7.2 CVE
2024-07-11 03:00:04.879080
CVE-2024-2925 WordPress 用 Beaver Builder - WordPress Page Builder プラグインは、2.8.0.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button Widget を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-11 03:00:04.703834
CVE-2024-2839 WordPress 用 Colibri Page Builder プラグインは、1.0.263 までのすべてのバージョンにおいて、'heading_type' のようなユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'colibri_post_title' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-11 03:00:04.702560
CVE-2024-2924 WordPress 用 Creative Addons for Elementor プラグインは、1.5.12 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-11 03:00:04.701525
CVE-2024-2791 WordPress 用 Metform Elementor Contact Form Builder プラグインは、3.8.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-11 03:00:04.699665
CVE-2024-1504 WordPress 用の SecuPress Free - WordPress Security プラグインは、2.2.5.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、secupress_blackhole_ban_ip() 関数の nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにユーザをだますことができる、偽造されたリクエストによってユーザのIPをブロックすることが可能になります。 4.3 CVE
2024-07-11 03:00:04.696307
CVE-2024-0956 WP ERP | Complete HR solution with recruitment & job listings | WooCommerce CRM & Accounting plugin for WordPress は、erp/v1/accounting/v1/vendors/1/products/ REST route を経由した id パラメータによる時間ベースの SQL インジェクションの脆弱性があります。 このため、管理者権限またはアカウンティングマネージャー権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 7.2 CVE
2024-07-10 09:00:11.722136
CVE-2024-2954 WordPress 用 Action Network プラグインは、バージョン 1.4.3 において、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、'bulk-action' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用可能なSQLクエリを既存のクエリに追加することが可能です。 7.2 CVE
2024-07-10 03:00:11.232916
CVE-2014-125110 WordPress 2.4.3 までの wp-file-upload プラグインに脆弱性が発見されました。この脆弱性の影響を受けるのは、ファイル lib/wfu_ajaxactions.php の関数 wfu_ajax_action_callback です。この操作はクロスサイトスクリプティングにつながります。この攻撃はリモートから実行可能です。バージョン 2.4.4 にアップグレードすることで、この問題に対処できます。パッチの識別子は c846327df030a0a97da036a2f07c769ab9284ddb です。影響を受けるコンポーネントをアップグレードすることを推奨します。この脆弱性には、識別子 VDB-258781 が割り当てられています。 3.5 CVE
2024-07-09 23:00:04.498299
CVE-2024-0913 WP ERP | 採用・求人リスト付き完全な人事ソリューション | WordPress 用 WooCommerce CRM & Accounting プラグインは、1.12.9 までのすべてのバージョンにおいて、ユーザが提供する status と customer_id パラメータのエスケープが不十分で、既存の SQL クエリに十分な準備がないため、erp/v1/accounting/v1/transactions/sales REST API エンドポイントを経由した時間ベースの SQL インジェクションに対して脆弱です。 このため、アカウンティングマネージャーまたは管理者以上の権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 7.2 CVE
2024-07-09 09:00:05.910676
CVE-2024-31104 この問題は、GetResponse for WordPress の n/a から 5.5.33 までのバージョンに影響します。 6.5 CVE
2024-07-09 09:00:04.467695
CVE-2024-31108 iFlyChat チーム iFlyChat - WordPress チャット iflychat におけるウェブページ生成中の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性 この問題は、iFlyChat - WordPress チャット: n/a から 4.7.2 に影響します。 6.5 CVE
2024-07-09 09:00:04.465429
CVE-2024-31115 QuanticaLabs Chauffeur Taxi Booking System for WordPress に危険なタイプのファイルの無制限アップロードの脆弱性。この問題は、Chauffeur Taxi Booking System for WordPress: n/a から 7.2 に影響します。 10.0 CVE
2024-07-09 09:00:04.462629
CVE-2015-10131 WordPressのchrisy TFO Graphviz Plugin 1.9までに脆弱性が発見されました。この問題の影響を受けるのは、ファイルtfo-graphviz-admin.phpのadmin_page_load/admin_page関数です。この操作はクロスサイトスクリプティングにつながります。攻撃はリモートから行われる可能性があります。バージョン1.10にアップグレードすることで、この問題に対処できます。パッチ名は 594c953a345f79e26003772093b0caafc14b92c2 です。影響を受けるコンポーネントをアップグレードすることを推奨します。この脆弱性の識別子は VDB-258620 です。 3.5 CVE
2024-07-09 03:00:06.874025
CVE-2024-3018 WordPress 用 Elementor プラグイン Essential Addons には、5.9.13 までのすべてのバージョンにおいて、"Login | Register Form" ウィジェット (デフォルトでは無効) の 'error_resetpassword' 属性から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能となります。対象のシステムにインストールされた追加のプラグインやテーマ経由で POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 8.8 CVE
2024-07-08 09:00:20.209274
CVE-2024-2491 WordPress 用 Elementor プラグイン PowerPack Addons には、2.7.17 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットの *_html_tag* 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 09:00:20.206733
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] (2701)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.