WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13833 | WordPress 用の Album Gallery - WordPress Gallery プラグインは、1.6.3 までのすべてのバージョンにおいて、 ギャラリーメタから信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。このため、エディタレベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能です。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。 | 7.2 |
CVE 2025-06-09 09:00:04.515899 |
| CVE-2024-13546 | WordPress 用の GenerateBlocks プラグインは、1.9.1 までのすべてのバージョンにおいて、'get_image_description' 関数を経由した機密情報漏洩の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、非公開、下書き、予定されている投稿やページの内容を含む機密データを抽出することが可能になります。 | 4.3 |
CVE 2025-06-09 09:00:04.515171 |
| CVE-2025-1291 | Gutenberg Blocks with AI by Kadence WP - Page Builder Features plugin for WordPress は、3.4.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'icon' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 09:00:04.514464 |
| CVE-2024-13910 | WordPress 用の Database Backup and check Tables Automated With Scheduler 2024 プラグインは、2.35 までのすべてのバージョンにおいて、'database_backup_ajax_delete' 関数のファイルパス検証の不備により、任意のファイルを削除される脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者がサーバ上の任意のファイルを削除することが可能で、適切なファイル（wp-config.phpなど）が削除されると、リモートでコードが実行される可能性があります。この脆弱性はバージョン 2.36 で部分的に修正されました。 | 7.2 |
CVE 2025-06-09 09:00:04.513668 |
| CVE-2024-13697 | Better Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBoss プラグインは、2.7.4 までのすべてのバージョンにおいて、'nice_links' を経由した Server-Side Request Forgery の脆弱性があります。これは、認証されていない攻撃者がウェブアプリケーションから任意の場所にウェブリクエストを行うことを可能にし、内部サービスからの情報の照会や変更に使用される可能性があります。悪用を成功させるには、「リンクのプレビューを有効にする」を有効にする必要があります（デフォルト）。 | 4.8 |
CVE 2025-06-09 09:00:04.512780 |
| CVE-2024-13611 | Better Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBoss プラグイン for WordPress には、2.6.9 までのすべてのバージョンにおいて、'bp-better-messages' ディレクトリを経由した機密情報漏洩の脆弱性があります。これにより、認証されていない攻撃者は、/wp-content/uploads/bp-better-messages ディレクトリに安全に保存されていない機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-06-09 09:00:04.510299 |
| CVE-2024-9195 | WordPress 用 WHMPress - WHMCS Client Area プラグインは、4.3-revision-3 までのすべてのバージョンにおいて、/admin/ajax.php ファイル内の update_settings ケースの機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-06-09 03:00:15.303608 |
| CVE-2025-1671 | WordPress 用 Academist Membership プラグインは、1.1.6 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、academist_membership_check_facebook_user() 関数が、ユーザを認証する前に、ユーザの身元を適切に検証していないことが原因です。このため、認証されていない攻撃者が、サイト管理者を含むあらゆるユーザーとしてログインすることが可能になってしまいます。 | 9.8 |
CVE 2025-06-09 03:00:15.179137 |
| CVE-2025-1638 | WordPress 用 Alloggio Membership プラグインは、1.0.2 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、alloggio_membership_init_rest_api_facebook_login関数とalloggio_membership_init_rest_api_google_login関数を通して、プラグインがユーザの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者は、パスワードを知らなくても、管理者を含むあらゆるユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-06-09 03:00:15.178039 |
| CVE-2025-1564 | WordPress 用 SetSail Membership プラグインは、1.0.3 までのすべてのバージョンに脆弱性があります。これは、プラグインがソーシャルログインを通じてユーザーの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者が、管理者を含むあらゆるユーザーとしてログインし、アカウントへのアクセスを乗っ取ることが可能になってしまいます。 | 9.8 |
CVE 2025-06-09 03:00:15.177118 |
| CVE-2024-13911 | WordPress用プラグイン「Database Backup and check Tables Automated With Scheduler 2024」は、2.35までのすべてのバージョンにおいて、/dashboard/backup.phpファイルを経由した機密情報暴露の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、データベースの完全な認証情報を含む機密データを抽出することが可能になります。 | 7.2 |
CVE 2025-06-09 03:00:15.176236 |
| CVE-2024-13806 | WordPress 用 The Authors List プラグインは、2.0.6 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.175610 |
| CVE-2024-12544 | SurveyJS: Drag & Drop WordPress Form Builder は、1.12.17 までのすべてのバージョンにおいて、SurveyJS_DeleteFile クラスのコールバック関数の機能チェックが欠落しているため、任意のファイルを削除する脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、サーバ上の任意のファイルを削除することが可能になり、適切なファイル（wp-config.php など）が削除されると、簡単にリモートでコードが実行される可能性があります。この関数は、1.12.20 の時点でも Cross-Site Request Forgery に対して脆弱です。 | 8.8 |
CVE 2025-06-09 03:00:15.174933 |
| CVE-2025-1730 | WordPress 用 Simple Download Counter プラグインは、2.0 までのすべてのバージョンにおいて、'simple_download_counter_download_handler' を経由した、任意のファイル読み込みの脆弱性があります。これにより、Authorレベル以上のアクセス権を持つ認証された攻撃者が、wp-config.phpや/etc/passwdのようなサーバー上のローカルファイルを含む機密データを抽出することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.174334 |
| CVE-2025-1502 | WordPress 用 IP2Location Redirection プラグインは、1.33.3 までのすべてのバージョンにおいて、'download_ip2location_redirection_backup' AJAX アクションの機能チェックが欠けているため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がプラグインの設定をダウンロードすることが可能になります。 | 5.3 |
CVE 2025-06-09 03:00:15.173561 |
| CVE-2025-1459 | WordPress 用 Page Builder by SiteOrigin プラグインは、2.31.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、埋め込みビデオ(PB)ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.172822 |
| CVE-2024-13373 | WordPress 用 Exertio Framework プラグインには、1.3.1 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、fl_forgot_pass_new() 関数によってパスワードを更新する前に、プラグインがユーザーの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者が、管理者を含む任意のユーザのパスワードを変更し、そのアカウントにアクセスすることが可能になってしまいます。 | 8.1 |
CVE 2025-06-09 03:00:15.172138 |
| CVE-2024-12824 | Nokri - Job Board WordPress Theme は、1.6.2 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、パスワードのような詳細情報を更新する前に、プラグインが空のトークンの値を適切にチェックしないことが原因です。このため、認証されていない攻撃者は、管理者を含む任意のユーザのパスワードを変更し、それを利用してそのアカウントにアクセスすることが可能です。 | 9.8 |
CVE 2025-06-09 03:00:15.171023 |
| CVE-2024-13901 | The Counter Box：Add Engaging Countdowns, Timers & Counters to Your WordPress Site plugin for WordPress は、2.0.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'content' パラメータを介した DOM-Based Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-06-09 03:00:15.170423 |
| CVE-2025-0820 | WordPress 用 Clicface Trombi プラグインは、入力のサニタイズと出力のエスケープが不十分なため、2.08 までのすべてのバージョンにおいて、'nom' パラメータを介した保存型クロスサイトスクリプティングの脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.169809 |
| CVE-2024-9217 | WordPress 用 Currency Switcher for WooCommerce プラグインは、2.16.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-09 03:00:15.169167 |
| CVE-2024-9212 | WordPress 用 SKU Generator for WooCommerce プラグインは、1.6.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-09 03:00:15.168171 |
| CVE-2024-13750 | Multilevel Referral Affiliate Plugin for WooCommerce plugin for WordPress は、2.27 までのすべてのバージョンにおいて、'orderby' パラメータ経由の SQL インジェクションの脆弱性があります。 これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.167535 |
| CVE-2024-13746 | WordPress 用 Booking Calendar and Notification プラグインは、4.0.3 までのすべてのバージョンにおいて、 wpcb_all_booking()、wpcb_update_booking_post()、wpcb_delete_posts() 関数の機能チェックが欠落しているため、不正アクセス、改ざん、データ消失の脆弱性があります。これにより、認証されていない攻撃者がデータを抽出したり、予約を作成・更新したり、任意の投稿を削除したりすることが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.166934 |
| CVE-2024-13568 | WordPress 用の Fluent Support - Helpdesk & Customer Support Ticket System プラグインは、1.8.5 までのすべてのバージョンにおいて、'fluent-support' ディレクトリを経由した機密情報暴露の脆弱性があります。このため、認証されていない攻撃者が、サポートチケットに含まれる添付ファイルを含む /wp-content/uploads/fluent-support ディレクトリに安全に保存されていない機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-06-09 03:00:15.166041 |
| CVE-2024-13559 | WordPress 用 TemplatesNext ToolKit プラグインは、3.2.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'tx_woo_wishlist_table' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.165078 |
| CVE-2024-13518 | WordPress 用 Simple:Press Forum プラグインは、6.10.11 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'sp_save_edited_post' 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる、偽造されたリクエストを使用してフォーラムの投稿を変更することが可能になります。 | 4.3 |
CVE 2025-06-09 03:00:15.164040 |
| CVE-2025-1780 | BuddyPress WooCommerce My Account Integration.Create WooCommerce Member Pages plugin for WordPressは、3.4.25までのすべてのバージョンにおいて、wc4bp_delete_page()関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインのページ設定を更新することが可能です。 | 4.3 |
CVE 2025-06-09 03:00:15.162946 |
| CVE-2024-13358 | BuddyPress WooCommerce My Account Integration.Create WooCommerce Member Pages plugin for WordPressは、3.4.24までのすべてのバージョンにおいて、wc4bp_delete_page()関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインのページ設定を更新することが可能になります。 | 4.3 |
CVE 2025-06-09 03:00:15.158955 |
| CVE-2025-1319 | Site Mailer - SMTP Replacement, Email API Deliverability & Email Log プラグイン for WordPress は、1.2.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-08 09:00:08.012646 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.