WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] [117] [118] [119] [120] [121] [122] [123] [124] [125] [126] [127] [128] [129] [130] [131] [132] [133] [134] [135] [136] [137] [138] [139] [140] [141] [142] [143] (4281)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2024-5330 WordPress 用 Breakdance プラグインは、1.7.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、breakdance_css_file_paths_cache パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター・レベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブ・スクリプトをページに注入することが可能になります。 6.4 CVE
2024-11-09 03:00:04.805949
CVE-2024-6529 1.4以前のUltimate Classified Listings WordPressプラグインは、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、管理者のような高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 7.1 CVE
2024-11-09 03:00:04.805218
CVE-2024-6496 1.0.0までのLight Poll WordPressプラグインには、ポールを削除する際のCSRFチェックがないため、攻撃者はCSRF攻撃によってログインしているユーザーにそのようなアクションを実行させることができる。 6.5 CVE
2024-11-09 03:00:04.804529
CVE-2024-4090 2.7.2以前のFloating Notification Bar、Sticky Menu on Scroll、Announcement Banner、Sticky Header for Any WordPressプラグインでは、設定の一部がサニタイズおよびエスケープされていないため、unfiltered_htmlが許可されていない場合でも、管理者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-11-09 03:00:04.803745
CVE-2024-3983 30.1以前のWooCommerce Customers Manager WordPressプラグインは、一部のバルクアクションにおいてCSRFチェックを行っていないため、攻撃者はCSRF攻撃によって、ログインした管理者に顧客の削除などの不要なアクションを実行させることができる。 8.1 CVE
2024-11-09 03:00:04.802998
CVE-2024-2872 2024.04.30以前のsocialdriver-framework WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、投稿者のような高権限ユーザーが、unfiltered_html機能が許可されていない場合でも(マルチサイト設定などで)、ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-11-09 03:00:04.802246
CVE-2024-2843 30.1以前のWooCommerce Customers Manager WordPressプラグインにはCSRFチェックがない箇所があり、CSRF攻撃によりログインした管理者ユーザーにユーザーを削除させることができる。 6.5 CVE
2024-11-09 03:00:04.801512
CVE-2024-1747 30.2以前のWooCommerce Customers Manager WordPressプラグインは、様々なAJAXアクションにおいて認証とCSRFを備えておらず、購読者のような認証されたユーザーがそれらを呼び出し、顧客メタデータを更新/削除/作成することができます。 6.5 CVE
2024-11-09 03:00:04.800600
CVE-2024-2090 WordPress 用の Remote Content Shortcode プラグインは、1.5 までのすべてのバージョンにおいて remote_content ショートコードを経由した Server-Side Request Forgery の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 6.4 CVE
2024-11-09 03:00:04.799742
CVE-2024-6698 WordPress 用 FundEngine プラグインには、1.7.0 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、update_user_meta 関数で更新されたユーザメタをプラグインが適切に検証していないことが原因です。このため、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がユーザメタを更新することが可能であり、これを利用して管理者アクセス権を得るために能力を更新することができます。 8.8 CVE
2024-11-09 03:00:04.797148
CVE-2024-6687 WordPress 用 CTT Expresso para WooCommerce プラグインは、3.2.12 までのすべてのバージョンにおいて、/wp-content/uploads/cepw ディレクトリ経由で機密情報が暴露される脆弱性があります。生成された .pdf とログファイルは一般にアクセス可能であり、送信者と受信者の名前、電話番号、物理的な住所、電子メールアドレスなどの機密情報が含まれています。 5.3 CVE
2024-11-08 23:00:06.289613
CVE-2024-6208 WordPress 用 Download Manager プラグインは、3.2.97 までのすべてのバージョンにおいて、'cols' パラメータの入力サニタイズと出力エスケープが不十分なため、プラグインの 'wpdm_all_packages' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-11-08 09:00:09.272230
CVE-2024-7135 WordPress 用 Tainacan プラグインは、0.21.7 までのすべてのバージョンにおいて、'get_file' 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。また、この関数はディレクトリトラバーサルに対しても脆弱です。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。 6.5 CVE
2024-11-08 09:00:09.271284
CVE-2024-6725 Formidable Forms - WordPress 用 Contact Form Plugin, Survey, Quiz, Payment, Calculator Form & Custom Form Builder プラグインには、入力のサニタイズと出力のエスケープが不十分なため、6.11.1 までのすべてのバージョンにおいて 'html' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、フォーム編集権限とサブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 4.9 CVE
2024-11-08 09:00:09.270335
CVE-2024-2508 WordPress 用 WP Mobile Menu プラグインは、2.8.4.4 までのすべてのバージョンにおいて、 save_menu_item_icon 関数のケイパビリティチェックが欠落しているため、 データが不正に変更される脆弱性があります。このため、認証されていない攻撃者は、任意の投稿に '_mobmenu_icon' post meta を任意の値 (ただしサニタイズされた値) で追加することが可能です。注意: バージョン2.8.4.4には、この脆弱性に対する部分的な修正が含まれています。 5.3 CVE
2024-11-08 09:00:09.267818
CVE-2024-6412 1.3.34以前のHTML Forms WordPressプラグインにはCSRFチェックがない箇所があり、CSRF攻撃によってログインしているユーザーに不要なアクションを実行させられる可能性がある。 6.5 CVE
2024-11-08 03:00:09.425915
CVE-2024-6408 1.2.57より前のSlider by 10Web WordPressプラグインは、Slider Titleをサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、編集者以上の高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 5.4 CVE
2024-11-08 03:00:09.425299
CVE-2024-6272 1.1.7までのSpiderContacts WordPressプラグインは、ページにパラメータを出力する前にパラメータをサニタイズおよびエスケープしていないため、管理者などの高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 6.1 CVE
2024-11-08 03:00:09.424668
CVE-2024-6165 2.6.1以前のWANotifier WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーが(マルチサイト設定などで)ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-11-08 03:00:09.422074
CVE-2024-5901 WordPress 用 SiteOrigin Widgets Bundle プラグインは、1.62.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、Image Grid ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-11-07 09:00:16.118859
CVE-2024-7100 WordPress 用 Bold Page Builder プラグインは、5.0.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの bt_bb_button ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-11-07 03:00:09.977874
CVE-2024-6536 3.3.99以前のZephyr Project Manager WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、編集者や管理者などの高権限ユーザーが、unfiltered_html機能が許可されていない場合でも(マルチサイト設定などで)、Stored Cross-Site Scripting攻撃を実行できる可能性があります。 5.4 CVE
2024-11-07 03:00:09.977151
CVE-2024-6226 2.1.0までのWpStickyBar WordPressプラグインは、ページに出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-11-07 03:00:09.976507
CVE-2024-6224 1.0.6までのSend email only on Reply to My Comment WordPressプラグインにはCSRFチェックがない箇所があり、エスケープだけでなくサニタイズも欠けているため、攻撃者はログインした管理者にCSRF攻撃でStored XSSペイロードを追加させることができる。 5.9 CVE
2024-11-07 03:00:09.975808
CVE-2024-6223 Send email only on Reply to My Comment WordPressプラグイン(1.0.6まで)は、ページに出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-11-07 03:00:09.975090
CVE-2024-6021 2.1.0までのDonation Block For PayPal WordPressプラグインは、フォーム送信をサニタイズおよびエスケープしないため、保存されたクロスサイトスクリプティングの脆弱性があります。 6.8 CVE
2024-11-07 03:00:09.974369
CVE-2024-5975 CZ Loan Management WordPress プラグイン 1.1 では、認証されていないユーザーが利用可能な AJAX アクションで SQL 文にパラメータを使用する前に、パラメータを適切にサニタイズおよびエスケープしていないため、SQL インジェクションが発生します。 9.1 CVE
2024-11-07 03:00:09.973678
CVE-2024-5809 WP Ajax Contact Form WordPressプラグイン2.2.2は、パラメータをページに出力する前にサニタイズとエスケープを行わないため、管理者ユーザーに対して使用される可能性のあるリフレクト・クロスサイト・スクリプティングが発生します。 6.1 CVE
2024-11-07 03:00:09.973010
CVE-2024-5808 2.2.2 までの WP Ajax Contact Form WordPress プラグインでは、メールリストからメールを削除する際に CSRF チェックが行われていないため、攻撃者はログインした管理者に CSRF 攻撃によってそのような操作を実行させることができます。 4.3 CVE
2024-11-07 03:00:09.972357
CVE-2024-5765 2.1.0までのWpStickyBar WordPressプラグインは、認証されていないユーザーが利用可能なAJAXアクションを介してSQLステートメントでそれを使用する前に、適切にパラメータをサニタイズおよびエスケープしておらず、SQLインジェクションにつながります。 9.8 CVE
2024-11-07 03:00:09.970987
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] [117] [118] [119] [120] [121] [122] [123] [124] [125] [126] [127] [128] [129] [130] [131] [132] [133] [134] [135] [136] [137] [138] [139] [140] [141] [142] [143] (4281)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.