WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2023-4723 | WordPress 用 Elementor Addon Elements プラグインには、1.12.7 までのバージョンにおいて ajax_eae_post_data 関数を経由した機密情報暴露の脆弱性があります。これにより、未認証の攻撃者が投稿/ページ ID やタイトル (保留/下書き/将来/非公開のステータスを含む) を含む機密データを抽出できる可能性があります。 | 5.3 |
CVE 2024-02-23 23:00:04.417008 |
| CVE-2023-4690 | WordPress 用 Elementor Addon Elements プラグインは、1.12.7 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは eae_save_config 関数における nonce 検証の欠落または不正確さによるものです。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる偽造リクエストを使用して、プラグインの設定を変更することが可能です。 | 4.3 |
CVE 2024-02-23 23:00:04.416183 |
| CVE-2023-4689 | WordPress 用 Elementor Addon Elements プラグインは、1.12.7 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは eae_save_elements 関数の nonce バリデーションが欠落しているか、正しくないことに起因します。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる偽造リクエストによって、elementor addon elements を有効/無効にすることが可能です。 | 4.3 |
CVE 2024-02-23 23:00:04.411716 |
| CVE-2023-4602 | WordPress 用 LMS プラグイン Namaste！LMS plugin for WordPress は、2.6.1.1 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'course_id' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザがリンクをクリックするなどのアクションを実行するようにうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-02-23 09:00:10.271645 |
| CVE-2023-6133 | WordPress 用 Forminator プラグインは、1.27.0 までのバージョンにおいて、'forminator_allowed_mime_types' 関数のブラックリストが不十分なため、任意のファイルをアップロードされる脆弱性があります。 このため、管理者レベル以上の能力を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能ですが、htaccess の設定により、リモートコードは実行されません。 | 4.9 |
CVE 2024-02-23 03:00:05.188224 |
| CVE-2023-4889 | WordPress 用 Shareaholic プラグインは、9.7.8 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'shareaholic' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-02-23 03:00:05.185559 |
| CVE-2023-6109 | WordPress 用 YOP Poll プラグインは、6.5.26 までのすべてのバージョンにおいて競合状態に脆弱です。これは add() 関数の不適切な制限によるものです。このため、一人一票と設定されている場合でも、認証されていない攻撃者が一つの投票に複数の票を入れることが可能になってしまいます。 | 3.7 |
CVE 2024-02-22 03:00:10.914943 |
| CVE-2023-4603 | WordPress 用 Star CloudPRNT for WooCommerce プラグインには、入力のサニタイズと出力のエスケープが不十分なため、2.0.3 までのバージョンで 'printersettings' パラメータを介した反射型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-02-21 23:00:05.925575 |
| CVE-2023-5741 | WordPress用POWRプラグインは、2.1.0までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの'powr-powr-pack'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-02-21 03:00:04.776292 |
| CVE-2023-4775 | WordPress 用 Advanced iFrame プラグインは、2023.8 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'advanced_iframe' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-02-21 03:00:04.775140 |
| CVE-2023-34013 | この問題は Poll Maker - Best WordPress Poll Plugin: n/a から 4.6.2 に影響します。 | 7.5 |
CVE 2024-02-21 03:00:04.771984 |
| CVE-2023-47230 | Cimatti Consulting WordPress Contact Forms by Cimatti プラグイン <= 1.6.0 バージョンにクロスサイトリクエストフォージェリ (CSRF) の脆弱性。 | 8.8 |
CVE 2024-02-20 23:00:04.102202 |
| CVE-2023-26524 | ExpressTech Quiz And Survey Master - Best Quiz, Exam and Survey Plugin for WordPress plugin <= 8.0.10 versions にクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。 | 8.8 |
CVE 2024-02-20 23:00:04.101117 |
| CVE-2023-28172 | Google Maps 用 flippercode WordPress プラグイン - WP MAPS (旧 WP Google Map Plugin) プラグイン <= 4.4.2 バージョンに CSRF (Cross-Site Request Forgery) 脆弱性。 | 8.8 |
CVE 2024-02-20 23:00:04.097562 |
| CVE-2023-5204 | WordPress 用 ChatBot プラグインは、4.8.9 までのバージョンにおいて、$strid パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2024-02-20 09:00:11.615738 |
| CVE-2023-4668 | Ad Inserter for WordPress には、2.7.30 までのバージョンにおいて、ai-debug-processing-fe URL パラメータを経由した、機密情報漏洩の脆弱性があります。これにより、認証されていない攻撃者が、インストールされているプラグイン（現在およびアクティブなもの）、アクティブなテーマ、さまざまなプラグイン設定、WordPressのバージョン、メモリ制限やインストールパスなどの一部のサーバー設定などの機密データを抽出することができます。 | 7.5 |
CVE 2024-02-20 03:00:05.433774 |
| CVE-2023-5426 | WordPress 用の Post Meta Data Manager プラグインは、1.2.0 までのバージョンで pmdm_wp_delete_user_meta, pmdm_wp_delete_term_meta, pmdm_wp_ajax_delete_meta 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が任意のユーザのユーザメタ、タームメタ、投稿メタを削除できるようになります。 | 7.5 |
CVE 2024-02-19 23:00:04.709038 |
| CVE-2012-10016 | WordPress の Halulu simple-download-button-shortcode Plugin 1.0 に問題のある脆弱性が発見されました。影響を受けるのは、コンポーネント Download Handler の simple-download-button_dl.php の未知の関数です。引数ファイルを操作することで、情報漏えいにつながります。リモートからの攻撃が可能です。バージョン 1.1 にアップグレードすることで、この問題に対処できます。影響を受けるコンポーネントをアップグレードすることを推奨します。VDB-242190 は、この脆弱性に割り当てられた識別子です。 | 7.5 |
CVE 2024-02-19 09:00:17.661229 |
| CVE-2023-5133 | この user-activity-log-pro WordPress プラグイン 2.3.4 より前のバージョンは、潜在的に信頼されていないヘッダーからクライアントの IP アドレスを取得するため、攻撃者はその値を操作することができます。これは悪意のあるトラフィックの送信元を隠すために使われる可能性があります。 | 7.5 |
CVE 2024-02-19 03:00:05.147261 |
| CVE-2023-5132 | WordPress 用 Soisy Pagamento Rateale プラグインには、6.0.1 までのバージョンで parseRemoteRequest 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、既存の WooCommerce Order ID を知っている認証されていない攻撃者が、機密性の高い WooCommerce の注文情報 (名前、住所、メールアドレス、その他の注文メタデータなど) を公開する可能性があります。 | 7.5 |
CVE 2024-02-18 23:00:04.982025 |
| CVE-2023-29428 | SuPlugins Superb Social Media Share Buttons and Follow Buttons for WordPress plugin <= 1.1.3 versions にクロスサイトリクエストフォージェリ（CSRF）の脆弱性。 | 8.8 |
CVE 2024-02-18 09:00:04.188915 |
| CVE-2023-32739 | Web_Trendy WP Custom Cursors | WordPress Cursor Plugin プラグイン < 3.2 バージョンにクロスサイトリクエストフォージェリ (CSRF) の脆弱性。 | 8.8 |
CVE 2024-02-17 09:00:04.392650 |
| CVE-2023-47238 | WebberZone Top 10 - WordPress Popular posts by WebberZone プラグイン <= 3.3.2 バージョンにクロスサイトリクエストフォージェリ (CSRF) の脆弱性。 | 8.8 |
CVE 2024-02-17 09:00:04.390136 |
| CVE-2023-46627 | Unauth.Ashish Ajani WordPress Simple HTML Sitemap プラグイン <= 2.1 バージョンにクロスサイトスクリプティング (XSS) の脆弱性が反映されました。 | 6.1 |
CVE 2024-02-16 09:00:12.171507 |
| CVE-2023-5982 | WordPress 用プラグイン UpdraftPlus: WordPress Backup & Migration Plugin には、1.23.10 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、Google Drive のリモートストレージの場所を更新するために使用される 'updraftmethod-googledrive-auth' アクションの nonce 検証の欠如と instance_id の不十分な検証によるものです。これにより、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させ、偽造リクエストによってバックアップが送信されるGoogle Driveの場所を変更することが可能になります。これにより、攻撃者は機密情報を含む可能性のあるサイトのバックアップを受け取ることが可能になります。 | 5.4 |
CVE 2024-02-15 09:00:11.938001 |
| CVE-2023-5819 | WordPress 用 Amazonify プラグインは、0.8.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールと、unfiltered_html が無効になっているインストールにのみ影響します。しかしながら、これは CSRF から XSS への CVE-2023-5818 と組み合わせることも可能であることに注意してください。 | 4.8 |
CVE 2024-02-15 09:00:11.937445 |
| CVE-2023-5818 | WordPress 用 Amazonify プラグインには、0.8.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、amazonifyOptionsPage() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを介して、Amazon トラッキング ID を含むプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2024-02-15 09:00:11.936883 |
| CVE-2023-41798 | この問題は、Directorist - WordPress Business Directory Plugin with Classified Ads Listing: n/a から 7.7.1 に影響します。 | 8.8 |
CVE 2024-02-15 09:00:11.936327 |
| CVE-2022-47181 | wpexpertsio Email Templates Customizer and Designer for WordPress and WooCommerce email-templatesにクロスサイトリクエストフォージェリ(CSRF)の脆弱性があり、クロスサイトリクエストフォージェリが可能です。この問題は、Email Templates Customizer and Designer for WordPress and WooCommerce: n/a から 1.4.2 に影響します。 | 8.8 |
CVE 2024-02-15 09:00:11.935730 |
| CVE-2022-45810 | Icegram Icegram Express - Email Marketing, Newsletters and Automation for WordPress & WooCommerce の CSV ファイルにおける式要素の不適切な中和の脆弱性この問題は、Icegram Express - Email Marketing, Newsletters and Automation for WordPress & WooCommerce: n/a から 5.5.2 に影響します。 | 9.8 |
CVE 2024-02-15 09:00:11.935175 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.