WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-4223 | ページビルダーPagelayer - Drag and Drop website builder plugin for WordPress は、2.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'login_url' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。悪用に成功するためには、有効なユーザー名とパスワードのペアが提供される必要があり、注入されたスクリプトは、認証されたユーザーのコンテキスト内でのみ実行されます。 | 4.7 |
CVE 2025-09-01 03:00:04.630698 |
| CVE-2025-5058 | WordPress 用 eMagicOne Store Manager for WooCommerce プラグインは、1.2.5 までのすべてのバージョンにおいて、set_image() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。これは、デフォルトのパスワードが1:1のままになっているか、攻撃者が認証情報にアクセスできるデフォルトの設定においてのみ、認証されていない攻撃者に悪用される可能性があります。 | 9.8 |
CVE 2025-09-01 03:00:04.629624 |
| CVE-2025-4602 | WordPress 用 eMagicOne Store Manager for WooCommerce プラグインは、1.2.5 までのすべてのバージョンにおいて、get_file() 関数経由で任意のファイルを読み取られる脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。これは、デフォルトのパスワードが1:1のままになっているか、攻撃者が認証情報にアクセスできるようになったデフォルトの設定においてのみ、認証されていない攻撃者に悪用される可能性があります。 | 5.9 |
CVE 2025-09-01 03:00:04.627406 |
| CVE-2025-5055 | Smart Forms - when you need more than just a contact form plugin for WordPress は、2.6.98 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-09-01 03:00:04.625233 |
| CVE-2025-3869 | WordPress 用 4stats プラグインには、2.0.9 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、stats/stats.php ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-01 03:00:04.623245 |
| CVE-2024-13427 | ページビルダーPagelayer - Drag and Drop website builder plugin for WordPress は、2.0.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。注意: この脆弱性はバージョン 1.9.9 で部分的に修正され、バージョン 2.0.1 で完全に修正されました。 | 6.4 |
CVE 2025-09-01 03:00:04.618413 |
| CVE-2025-31914 | kamleshyadav Pixel WordPress Form BuilderPlugin & Autoresponder の SQL コマンドで使用される特殊要素の不適切な中和 ('SQL インジェクション') 脆弱性により、ブラインド SQL インジェクションが可能です。この問題は Pixel WordPress Form BuilderPlugin & Autoresponder: n/a から 1.0.2 に影響します。 | 9.3 |
CVE 2025-08-31 09:00:06.724615 |
| CVE-2025-47658 | ELEXtensions ELEX WordPress HelpDesk & Customer Ticketing System における危険な型のファイルの無制限アップロードの脆弱性により、ウェブシェルがウェブサーバにアップロードされます。この問題は、ELEX WordPress HelpDesk & Customer Ticketing System: n/a から 3.2.7 に影響します。 | 9.9 |
CVE 2025-08-31 09:00:05.393858 |
| CVE-2025-39485 | ThemeGoods Grand Tour | Travel Agency WordPress における信頼できないデータのデシリアライズの脆弱性により、オブジェクトインジェクションが可能です。この問題は、グランドツアー｜旅行会社 WordPress: n/a から 5.5.1 に影響します。 | 9.8 |
CVE 2025-08-31 09:00:05.393254 |
| CVE-2025-32292 | AncoraThemes Jarvis - Night Club, Concert, Festival WordPress における信頼できないデータのデシリアライズの脆弱性は、オブジェクトインジェクションを可能にします。この問題は、Jarvis - Night Club, Concert, Festival WordPress: n/a から 1.8.11 に影響します。 | 9.8 |
CVE 2025-08-31 09:00:05.392241 |
| CVE-2025-1123 | Solid Mail - SMTP email and logging made by SolidWP plugin for WordPress は、2.1.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、メール名、件名、本文を経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-08-31 09:00:05.386394 |
| CVE-2025-5096 | WordPress 用 TablePress プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.1.2 までのすべてのバージョンにおいて、'data-caption'、'data-s-content-padding'、'data-s-title'、'data-footer' データ属性を介した DOM ベースの蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-08-31 09:00:05.365386 |
| CVE-2025-4524 | WordPress 用テーマ Madara - レスポンシブでモダンなマンガサイト用 WordPress テーマは、2.2.2 までのすべてのバージョンにおいて、'template' パラメータを経由したローカルファイルインクルード（Local File Inclusion）の脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能となり、そのファイル内の任意の PHP コードの実行を許してしまいます。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コードを実行したりすることが可能になります。 | 9.8 |
CVE 2025-08-31 03:00:07.389639 |
| CVE-2025-4594 | WordPress 用 Tournamatch プラグインは、4.6.1 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'trn-ladder-registration-button' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-31 03:00:07.154244 |
| CVE-2025-4419 | WordPress 用 Hot Random Image プラグインは、1.9.2 までのすべてのバージョンにおいて、'path' パラメータを経由した Path Traversal の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、許可された拡張子を持つ任意の画像に、本来意図されたディレクトリ以外でアクセスすることが可能になります。 | 4.3 |
CVE 2025-08-30 09:00:04.308400 |
| CVE-2025-4405 | WordPress 用 Hot Random Image プラグインは、1.9.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'link' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 4.9 |
CVE 2025-08-30 09:00:04.307705 |
| CVE-2024-9544 | WordPress 用 MapSVG プラグインは、入力のサニタイズと出力のエスケープが不十分なため、8.6.4 までのすべてのバージョンにおいて、SVG ファイルのアップロードを介した Stored クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-08-30 09:00:04.292702 |
| CVE-2025-4133 | Blog2Social：8.4.0以前のWordPressプラグインは、ダッシュボードに投稿を出力する際に投稿のタイトルをエスケープしないため、投稿者ロールを持つユーザーがクロスサイトスクリプティング攻撃を行う可能性があります。 | 5.4 |
CVE 2025-08-30 03:00:05.152006 |
| CVE-2025-5062 | WordPress 用 WooCommerce プラグインは、9.4.2 までのすべてのバージョンにおいて、PostMessage データの入力サニタイズと出力エスケープが不十分なため、「customize-store」ページを介した PostMessage ベースのクロスサイトスクリプティングの脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブスクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-08-30 03:00:05.147438 |
| CVE-2025-4094 | DIGITS：8.4.6.1より前のWordPress携帯番号サインアップおよびログインプラグインでは、OTP検証の試行回数が制限されていないため、攻撃者は簡単にOTPをブルートフォースすることができます。 | 9.8 |
CVE 2025-08-29 09:00:08.264873 |
| CVE-2025-4803 | The Glossary by WPPedia - Best Glossary plugin for WordPress plugin for WordPress には、1.3.0 までのすべてのバージョンにおいて、 'posttypes' パラメータから信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。このため、管理者レベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトを注入することが可能です。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性は影響を与えません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-08-29 09:00:05.835469 |
| CVE-2025-4611 | WordPress 用のプラグイン Slim SEO - Fast & Automated WordPress SEO Plugin には、4.5.3 までのすべてのバージョンにおいて、ユーザーから提供された属性の入力サニタイズと出力エスケープが不十分なため、プラグインの slim_seo_breadcrumbs ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。このため、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、任意のウェブスクリプトをページに注入することができます。 | 6.4 |
CVE 2025-08-29 09:00:05.833922 |
| CVE-2025-4221 | WordPress 用の Animated Buttons プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'auto-downloader' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.832989 |
| CVE-2025-4219 | WordPress 用 DPEPress プラグインは、0.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'dpe' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.832024 |
| CVE-2025-4217 | WordPress 用 WP YouTube Video Optimizer プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'ib_youtube' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.830655 |
| CVE-2025-4105 | WordPress 用の Split プラグインは、4.2.8 までのすべてのバージョンにおいて、 'splitIt-flexfields-payment-gateway.php' ファイル内のいくつかの関数における機能チェックが欠落しているため、 データが不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サンドボックスから実運用環境への変更、またはその逆を含む、プラグインの設定を変更することが可能になります。 | 5.4 |
CVE 2025-08-29 09:00:05.827609 |
| CVE-2025-3781 | WordPress 用 Raisely Donation Form プラグインは、1.0 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの raisely_donation_form ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.826855 |
| CVE-2025-3750 | WordPress 用 Network Posts Extended プラグインは、7.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'post_height' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.825590 |
| CVE-2024-12561 | WordPress 用 Google Analytics and other tools プラグインの Affiliate Sales には、1.4.9 までのすべてのバージョンにおいて Open Redirect の脆弱性があります。これは、'afflink' パラメータ経由で提供されるリダイレクト URL の検証が不十分なためです。これにより、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトにリダイレクトさせることが可能になります。 | 6.1 |
CVE 2025-08-29 09:00:05.805016 |
| CVE-2024-5878 | WordPress 用の複数のプラグインには、様々なバージョンにおいて、プラグインにバンドルされている SimpleLightbox JavaScript ライブラリ（バージョン 2.1.5）を経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-28 03:00:07.154959 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.