WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を!

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2023-3372 1.2.0より前のLana Shortcodes WordPressプラグインは、ショートコードが埋め込まれているページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしていないため、投稿者ロール以上のユーザがStored Cross-Site Scripting攻撃を行う可能性があります。 5.4 CVE
2024-04-16 09:00:04.170263
CVE-2023-3211 1.0.3までのWordPress Database Administrator WordPressプラグインは、認証されていないユーザーが利用可能なAJAXアクションを介してSQLステートメントで使用する前に、パラメータを適切にサニタイズおよびエスケープしておらず、SQLインジェクションにつながります。 9.8 CVE
2024-04-16 09:00:04.169715
CVE-2023-3178 2.5.7以前のPOST SMTP Mailer WordPressプラグインは、一部のAJAXアクションにおいて適切なCSRFチェックを行っていないため、攻撃者はmanage_postman_smtpケイパビリティを持つログインユーザーにCSRF攻撃によって任意のログを削除させることができる。 4.3 CVE
2024-04-16 09:00:04.169107
CVE-2023-2655 Contact Form by WD WordPress プラグイン 1.13.23 では、SQL 文でパラメータを使用する前に適切にサニタイズとエスケープを行っておらず、管理者などの高権限ユーザーが悪用可能な SQL インジェクションを引き起こしています。 7.2 CVE
2024-04-16 09:00:04.168524
CVE-2023-2252 7.5.4以前のDirectorist WordPressプラグインは、CSVファイルをインポートする際にファイルパラメータを検証しないため、ローカルファイルインクルードの脆弱性があります。 2.7 CVE
2024-04-16 09:00:04.167937
CVE-2023-1405 6.2以前のFormidable Forms WordPressプラグインはユーザー入力をシリアライズしないため、適切なガジェットが存在する場合、匿名ユーザーがPHPオブジェクトインジェクションを実行できる可能性があります。 7.5 CVE
2024-04-16 09:00:04.167298
CVE-2023-0824 2.0までのUser registration & user profile WordPressプラグインは、CSRFチェックを行っていない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができます。 6.5 CVE
2024-04-16 09:00:04.166640
CVE-2023-0769 2.0.0.1までのhiWeb Migration Simple WordPressプラグインは、パラメータをページに出力する前にサニタイズおよびエスケープを行わないため、管理者などの高特権ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 6.1 CVE
2024-04-16 09:00:04.166047
CVE-2023-0479 4.7.2 以前の Print Invoice & Delivery Notes for WooCommerce WordPress プラグインには、WooCommerce の受注ページ内の管理メモに GET 値を echo することで反映される XSS の脆弱性があります。これは、edit_others_shop_orders機能を持つユーザがこの脆弱性を悪用できることを意味します。WooCommerceがインストールされ、有効になっている必要があります。この脆弱性はesc_url_raw()でクリーンアップした後のurldecode()が原因で、二重エンコードを許してしまいます。 6.1 CVE
2024-04-16 09:00:04.165134
CVE-2023-0389 1.1.151 より前の Calculated Fields Form WordPress プラグインでは、フォーム設定の一部がサニタイズおよびエスケープされないため、unfiltered_html 機能が許可されていない場合 (マルチサイト設定など) でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を行える可能性があります。 4.8 CVE
2024-04-16 09:00:04.164528
CVE-2023-0376 Qubely WordPressプラグイン1.8.5以前のバージョンでは、ブロックを埋め込むページ/投稿に出力する前に、一部のブロックオプションのバリデーションとエスケープが行われないため、投稿者以上のロールを持つユーザーにStored Cross-Site Scripting攻撃を許してしまう可能性があります。 5.4 CVE
2024-04-16 09:00:04.163915
CVE-2023-0224 2.24.1以前のGiveWP WordPressプラグインは、SQLクエリに到達する前にユーザー入力を適切にエスケープしないため、認証されていない攻撃者がSQLインジェクション攻撃を行う可能性があります。 9.8 CVE
2024-04-16 09:00:04.163341
CVE-2023-0094 1.0.5までのUpQode Google Maps WordPressプラグインは、ショートコードが埋め込まれているページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしません。 5.4 CVE
2024-04-16 09:00:04.162764
CVE-2023-0079 5.17.0より前のCustomer Reviews for WooCommerce WordPressプラグインは、ショートコードを埋め込むページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしていません。このため、投稿者ロール以上のユーザがStored Cross-Site Scripting攻撃を行う可能性があります。 5.4 CVE
2024-04-16 09:00:04.162230
CVE-2022-3899 3.5.6.9以前の3dprint WordPressプラグインは、プラグインに含まれるTiny File Managerの修正版においてCSRF攻撃を防御しないため、攻撃者はログインした管理者を騙してフォームを送信させることで、ターゲットサーバー上の任意の数のファイルやディレクトリを削除する悪意のあるリクエストを作成することができます。 8.1 CVE
2024-04-16 09:00:04.161699
CVE-2022-3836 2.0.4より前のSeed Social WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります(マルチサイト設定など)。 4.8 CVE
2024-04-16 09:00:04.161081
CVE-2022-3829 4.7.0までのFont Awesome 4 Menus WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合(マルチサイト設定など)でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2024-04-16 09:00:04.160439
CVE-2022-3739 1.0までのWP Best Quiz WordPressプラグインは、いくつかのパラメータをサニタイズおよびエスケープしていないため、Author程度のロールを持つユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 5.4 CVE
2024-04-16 09:00:04.159736
CVE-2022-3604 1.3.0 より前の Contact Form Entries WordPress プラグインは CSV ファイルに出力されたデータを検証しません。 7.8 CVE
2024-04-16 09:00:04.158990
CVE-2022-3194 3.6.4以前のDokan WordPressプラグインでは、ベンダーが製品レビューに任意のjavascriptを注入することが可能で、サイト管理者など他のユーザーに対して保存型XSS攻撃を実行できる可能性があります。 5.4 CVE
2024-04-16 09:00:04.158369
CVE-2022-2413 2.3.47以前のSlide Anything WordPressプラグインは、管理ページで出力する前にスライドタイトルを適切にサニタイズまたはエスケープしないため、unfiltered_html機能が無効になっている場合でも、Author以下のロールでログインしたユーザーがスライドタイトルにjavascriptペイロードを注入することができます。 5.4 CVE
2024-04-16 09:00:04.157717
CVE-2022-23180 1.7.4 より前の Contact Form & Lead Form Elementor Builder WordPress プラグインには認証チェックと nonce チェックがありません。 4.3 CVE
2024-04-16 09:00:04.157138
CVE-2022-23179 1.7.0 より前の Contact Form & Lead Form Elementor Builder WordPress プラグインでは、フォームフィールドを属性で出力する前にエスケープしていないため、unfiltered_html 機能が許可されていない場合でも、高い権限のユーザーにクロスサイトスクリプティング攻撃を許してしまう可能性があります。 4.8 CVE
2024-04-16 09:00:04.156547
CVE-2022-1760 1.2.1までのCore Control WordPressプラグインは、設定を更新する際にCSRFチェックを行っていないため、攻撃者がCSRF攻撃によってログインした管理者に設定を変更させる可能性がある。 4.3 CVE
2024-04-16 09:00:04.155957
CVE-2022-1618 1.0.2までのCoru LFMember WordPressプラグインは、新しいゲームを追加する際にCSRFチェックを行っておらず、サニタイズやエスケープが設定に欠けているため、攻撃者はログインした管理者にXSSペイロードを持つ任意のゲームを追加させることができる。 6.1 CVE
2024-04-16 09:00:04.155400
CVE-2022-1617 4.3.1までのWP-Invoice WordPressプラグインは、設定を更新する際にCSRFチェックが行われておらず、サニタイズとエスケープが欠けているため、攻撃者はログインした管理者に設定を変更させ、XSSペイロードを追加することができます。 6.1 CVE
2024-04-16 09:00:04.154809
CVE-2022-1609 9.9.7 以前の School Management WordPress プラグインには、REST API ハンドラを登録するライセンスチェックコードに難読化されたバックドアが含まれており、認証されていない攻撃者がサイト上で任意の PHP コードを実行できるようになっています。 9.8 CVE
2024-04-16 09:00:04.154101
CVE-2022-1563 0.12.4 より前の WPGraphQL WooCommerce WordPress プラグインは、認証されていない攻撃者が GraphQL 経由でショップのクーポンコードと値を列挙することを防止しません。 5.3 CVE
2024-04-16 09:00:04.153481
CVE-2022-1538 1.1.1以前のTheme Demo Import WordPressプラグインは、インポートされたファイルを検証しないため、FILE_MODSおよびFILE_EDITが許可されていない場合でも、管理者などの高特権ユーザーが任意のファイル(PHPなど)をアップロードすることができます。 7.2 CVE
2024-04-16 09:00:04.152825
CVE-2022-0775 6.2.1以前のWooCommerce WordPressプラグインでは、レビュー削除時に適切な権限チェックが行われないため、購読者などの認証済みユーザーであれば任意のコメントを削除できる可能性があります。 4.3 CVE
2024-04-16 09:00:04.152091
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] (1660)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.