WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] (2701)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2024-2144 WordPress 用の Ultimate Addons for Beaver Builder - Lite プラグインには、入力のサニタイズと出力のエスケープが不十分なため、1.5.7 までのすべてのバージョンにおいて、Image Separator ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.008349
CVE-2024-2143 WordPress 用の Ultimate Addons for Beaver Builder - Lite プラグインは、1.5.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Heading ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.007707
CVE-2024-2142 WordPress 用の Ultimate Addons for Beaver Builder - Lite プラグインは、1.5.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Info Table ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.007110
CVE-2024-2141 WordPress 用の Ultimate Addons for Beaver Builder - Lite プラグインは、1.5.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Button ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.006438
CVE-2024-2140 WordPress 用の Ultimate Addons for Beaver Builder - Lite プラグインには、1.5.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Advanced Icons ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.005732
CVE-2024-2794 WordPress 用 Gutenberg Block Editor Toolkit - EditorsKit プラグインは、1.40.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'editorskit' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.005019
CVE-2024-2086 Integrate Google Drive - Browse, Upload, Download, Embed, Play, Share, Gallery, and Manage Your Google Drive Files Into Your WordPress Site plugin for WordPress には、1.3.8 までのすべてのバージョンにおいて、複数の AJAX の機能チェックが欠落しているため、データへの不正アクセス、データの変更、データの消失の脆弱性があります。これにより、認証された攻撃者がプラグインの設定を変更したり、プラグインに関連付けられた Google ドライブへの完全な読み取り/書き込み/削除アクセスを許可したりすることが可能になります。 10.0 CVE
2024-07-08 03:00:15.004318
CVE-2024-2047 WordPress 用 Elementor addons プラグイン ElementsKit には、3.0.6 までのすべてのバージョンにおいて、 render_raw 関数を経由したローカルファイルインクルード(Local File Inclusion)の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバー上の任意のファイルをインクルードして実行することが可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コード実行を行ったりすることが可能になります。 8.8 CVE
2024-07-08 03:00:15.003659
CVE-2024-1692 BoldGrid Easy SEO - Simple and Effective SEO plugin for WordPress は、1.6.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、meta description フィールドを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.003054
CVE-2024-1238 ElementsKit Elementor addons plugin for WordPress には、入力のサニタイズと出力のエスケープが不十分なため、3.0.6 までのすべてのバージョンにおいて、ボタン ID パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.002351
CVE-2024-1051 WordPress 用 List category posts プラグインは、0.89.6 までのすべてのバージョンにおいて、'title_tag' のようなユーザが指定した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'catlist' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-08 03:00:15.001582
CVE-2024-0367 WordPress 用の Unlimited Elements For Elementor プラグインは、1.5.96 までのすべてのバージョンにおいて、インストールされたウィジェットのリンクフィールド (例: 'Button Link') を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 6.4 CVE
2024-07-08 03:00:14.998850
CVE-2024-30444 この問題は、WordPress Page Builder - Zion Builder の n/a から 3.6.9 までのバージョンに影響します。 5.9 CVE
2024-07-07 09:00:30.181924
CVE-2024-30492 WebToffee Import Export WordPress Users における、制限付きディレクトリへのパス名の不適切な制限(「Path Traversal」)の脆弱性 この問題は、Import Export WordPress Users の n/a から 2.5.2 までのバージョンに影響します。 4.3 CVE
2024-07-07 09:00:30.181359
CVE-2024-30478 Bulletin WordPress Announcement & Notification Banner Plugin - Bulletin に SQL コマンドで使用される特殊要素の不適切な中和(「SQL インジェクション」)の脆弱性この問題は、WordPress Announcement & Notification Banner Plugin - Bulletin の n/a から 3.8.5 に影響します。 7.6 CVE
2024-07-07 09:00:30.180646
CVE-2024-30457 realmag777 WordPress Meta Data and Taxonomies Filter (MDTF) にクロスサイトリクエストフォージェリ (CSRF) の脆弱性。この問題は、WordPress Meta Data and Taxonomies Filter (MDTF): n/a から 1.3.3.1 に影響します。 4.3 CVE
2024-07-07 09:00:30.180007
CVE-2024-2848 WordPress 用の Responsive テーマは、5.0.2 までのすべてのバージョンにおいて、 save_footer_text_callback 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が任意の HTML コンテンツをサイトのフッターに注入することが可能になります。 7.5 CVE
2024-07-07 09:00:30.179382
CVE-2024-2411 WordPress 用 MasterStudy LMS プラグインは、3.3.0 までのすべてのバージョンにおいて、'modal' パラメータを経由したローカルファイル取り込みの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能になり、そのファイル内の任意の PHP コードの実行が可能になります。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コードを実行したりすることが可能になります。 9.8 CVE
2024-07-07 09:00:30.177989
CVE-2024-2409 WordPress 用 MasterStudy LMS プラグインには、3.3.1 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、'wp_ajax_nopriv_stm_lms_register' AJAX アクションによって呼び出される _register_user() 関数のバリデーションチェックが不十分なためです。これにより、MasterStudy LMS Proがインストールされ、LMS Forms Editorアドオンが有効になっている場合、認証されていない攻撃者が管理者レベルの権限でユーザーを登録することが可能になります。 9.8 CVE
2024-07-07 09:00:30.175578
CVE-2024-2250 The 130+ Widgets | Best Addons For Elementor - FREE plugin for WordPress は、1.4.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-07 03:00:26.263038
CVE-2024-2970 WordPress 用 News Wall プラグインは、1.1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、nwap_newslist_page() 関数における nonce バリデーションの欠落または不正確さによるものです。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、プラグインの設定を更新し、ニュースリストを変更することが可能になります。 4.3 CVE
2024-07-07 03:00:26.262425
CVE-2024-2969 WordPress 用 WP-Eggdrop プラグインは、0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wpegg_updateOptions() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる、偽造されたリクエストによってプラグインの設定を更新することが可能になります。 5.4 CVE
2024-07-07 03:00:26.261844
CVE-2024-2968 WordPress 用プラグイン WP-Eggdrop には、0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 4.4 CVE
2024-07-07 03:00:26.261209
CVE-2024-2964 WordPress 用 Pocket News Generator プラグインは、0.2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、option_page() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを経由してプラグインの設定を更新することが可能になります。 5.4 CVE
2024-07-07 03:00:26.260422
CVE-2024-2963 WordPress 用 Pocket News Generator プラグインは、0.2.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「Consumer Key」や「Access Token」などの管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 4.4 CVE
2024-07-07 03:00:26.259687
CVE-2024-2476 WordPress用テーマOceanWPは、3.5.4までのすべてのバージョンにおいて、load_theme_panel_pane関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、システム/環境データやAPIキーなどの機密情報を公開することが可能になります。 4.3 CVE
2024-07-07 03:00:26.258856
CVE-2024-2280 WordPress 用 Better Elementor Addons プラグインは、1.4.1 までのすべてのバージョンにおいて、ユーザが提供する属性に対する入力のサニタイズと出力のエスケープが不十分なため、ウィジェットのリンク URL 値を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 6.4 CVE
2024-07-07 03:00:26.258127
CVE-2024-2116 WordPress 用 Christmas Greetings プラグインは、1.2.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、コードパラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 6.1 CVE
2024-07-07 03:00:26.257385
CVE-2024-2113 Ninja Forms Contact Form - The Drag and Drop Form Builder for WordPress プラグインは 3.8.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは nf_download_all_subs AJAX アクションの nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストによって、フォームの送信を一般にアクセス可能な場所にエクスポートすることができます。 4.3 CVE
2024-07-07 03:00:26.256648
CVE-2024-2108 WordPress 用プラグイン Ninja Forms Contact Form - The Drag and Drop Form Builder for WordPress には、入力のサニタイズと出力のエスケープが不十分なため、3.8.0 までのすべてのバージョンにおいて、フォームに埋め込まれた画像タイトルを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 4.6 CVE
2024-07-07 03:00:26.255993
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] (2701)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.