見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
---|---|---|---|
ID | 説明 | CVSS v3 ベーススコア | 情報元 |
CVE-2023-6970 | WordPress 用 WP Recipe Maker プラグインは、9.1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'Referer' ヘッダを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-04-20 03:00:05.881889 |
CVE-2023-6958 | WordPress 用 WP Recipe Maker プラグインは、9.1.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-04-20 03:00:05.881252 |
CVE-2023-5041 | 0.3.12より前のTrack The Click WordPressプラグインは、stats RESTエンドポイントへのクエリパラメータをデータベースクエリで使用する前に適切にサニタイズしていないため、作者ロール以上でログインしているユーザーがデータベースに時間ベースのブラインドSQLi攻撃を行うことが可能です。 | 8.8 |
CVE 2024-04-20 03:00:05.880599 |
CVE-2023-5006 | 2.5.1より前のWP Discord Invite WordPressプラグインは、CSRF攻撃からアクションの一部を保護しておらず、ログインしている管理者を騙して細工したリクエストを送信させることで、認証されていない攻撃者が自分の代わりにアクションを実行することを可能にしています。 | 6.5 |
CVE 2024-04-20 03:00:05.879982 |
CVE-2021-4434 | WordPress 用 Social Warfare プラグインは、3.5.2 までのバージョンにおいて、'swp_url' パラメータを経由したリモートコード実行の脆弱性があります。これにより、攻撃者はサーバ上でコードを実行することができます。 | 9.8 |
CVE 2024-04-20 03:00:05.879357 |
CVE-2024-0405 | Burst Statistics - Privacy-Friendly Analytics for WordPress プラグイン(バージョン 1.5.3)には、/wp-json/burst/v1/data/compare エンドポイントの複数の JSON パラメータを経由した Post-Authenticated SQL Injection の脆弱性があります。影響を受けるパラメータには、'browser'、'device'、'page_id'、'page_url'、'platform'、および 'referrer' が含まれます。この脆弱性は、ユーザーから提供されたパラメータのエスケープが不十分であることと、SQLクエリに十分な準備がないことに起因します。その結果、エディタアクセス以上の権限を持つ攻撃者は、既存のSQLクエリに追加のSQLクエリを追加することができ、データベースから機密情報への不正アクセスにつながる可能性があります。 | 6.5 |
CVE 2024-04-20 03:00:05.878626 |
CVE-2024-0239 | 1.2.3 より前の Contact Form 7 Connector WordPress プラグインでは、パラメータを出力する前にサニタイズとエスケープを行っておらず、管理者に悪用される可能性のある Reflected Cross-Site Scripting を引き起こしています。 | 6.1 |
CVE 2024-04-20 03:00:05.878027 |
CVE-2024-0238 | 4.5.6より前のEventON Premium WordPressプラグイン、2.2.8より前のEventON WordPressプラグインは、AJAXアクションの認可を持っておらず、更新される投稿がプラグインのものであることを保証しないため、認証されていないユーザーが任意の投稿メタデータを更新することができます。 | 6.1 |
CVE 2024-04-20 03:00:05.877394 |
CVE-2024-0237 | 4.5.8までのEventON WordPressプラグイン、2.2.7以前のEventON WordPressプラグインでは、一部のAJAXアクションで認証が行われていないため、認証されていないユーザーが、会議のURL、司会者、アクセス詳細などの仮想イベントの設定を更新することができます。 | 5.3 |
CVE 2024-04-20 03:00:05.876714 |
CVE-2024-0236 | 4.5.5より前のEventON WordPressプラグイン、2.2.7より前のEventON WordPressプラグインは、AJAXアクションの認可を持っていないため、認証されていないユーザーが任意の仮想イベントの設定を取得することができます。 | 5.3 |
CVE 2024-04-20 03:00:05.876032 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.