WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13570 | Stray Random Quotes WordPressプラグイン1.9.9では、ページにパラメータを出力する前にパラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scriptingが発生し、管理者などの高権限ユーザーに対して使用される可能性があります。 | 6.1 |
CVE 2025-05-22 03:00:05.254178 |
| CVE-2024-13544 | 2.3までのZarinpal Paid Download WordPressプラグインは、アップロードされたファイルを適切に検証しないため、管理者のような高い権限を持つユーザーが、許可されていないにもかかわらず、サーバー上に任意のファイルをアップロードすることができます（マルチサイト設定など）。 | 4.8 |
CVE 2025-05-22 03:00:05.253541 |
| CVE-2024-13543 | Zarinpal Paid Download WordPressプラグイン2.3では、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scriptingが発生し、管理者などの高権限ユーザーに対して使用される可能性があります。 | 6.1 |
CVE 2025-05-22 03:00:05.252818 |
| CVE-2024-12599 | HT Mega - Absolute Addons For Elementor plugin for WordPress は、2.8.1 までのすべてのバージョンにおいて、プラグインのカウントダウンウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-05-22 03:00:05.248594 |
| CVE-2024-13011 | WordPress 用 WP Foodbakery プラグインは、4.7 までのバージョンにおいて、'upload_publisher_profile_image' 関数のファイルタイプ検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-05-21 09:00:05.833909 |
| CVE-2024-13010 | WordPress 用 WP Foodbakery プラグインは、4.7 までのバージョンにおいて、'search_type' パラメータの入力サニタイズと出力エスケープが不十分なため、Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能です。 | 6.1 |
CVE 2025-05-21 09:00:05.831191 |
| CVE-2024-13440 | WordPress 用 Super Store Finder プラグインは、7.0 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'ssf_wp_user_name' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、すでに存在するクエリに追加の SQL クエリを追加して、ストアレビューにクロスサイトスクリプティングを保存することが可能になります。 | 8.2 |
CVE 2025-05-20 03:00:49.242713 |
| CVE-2025-0169 | DWT - Directory & Listing WordPress Theme には、3.3.4 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 23:00:08.385624 |
| CVE-2025-0316 | WordPress 用 WP Directorybox Manager プラグインは、2.5 までのバージョンにおいて認証バイパスの脆弱性があります。これは、'wp_dp_enquiry_agent_contact_form_submit_callback' 関数における不正な認証が原因です。このため、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者などのサイト上の既存ユーザーとしてログインすることが可能です。 | 9.8 |
CVE 2025-05-19 09:00:06.728740 |
| CVE-2024-13850 | WordPress 用の Simple add pages or posts プラグインは、2.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-05-19 09:00:06.726139 |
| CVE-2024-7425 | WordPress 用 WP ALL Export Pro プラグインは、1.9.1 までのすべてのバージョンにおいて、不適切なユーザー入力の検証およびサニタイズにより、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、ショップマネージャレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録用のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 6.8 |
CVE 2025-05-18 09:00:12.200721 |
| CVE-2024-9664 | WordPress 用 WP All Import Pro プラグインは、4.9.7 までのすべてのバージョンにおいて、 インポートファイルからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。ターゲットシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-05-18 09:00:12.199963 |
| CVE-2024-9661 | WordPress 用 WP All Import Pro プラグインには、4.9.7 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは delete_and_edit 関数の nonce バリデーションが欠落しているためです。このため、認証されていない攻撃者が、インポートしたコンテンツ (投稿、コメント、ユーザーなど) を偽造リクエストによって削除したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させたりすることが可能になります。 | 4.3 |
CVE 2025-05-18 09:00:12.199285 |
| CVE-2024-7419 | WordPress 用 WP ALL Export Pro プラグインは、1.9.1 までのすべてのバージョンにおいて、カスタムエクスポートフィールドを介したリモートコード実行の脆弱性があります。これは、ユーザーが提供するデータの入力検証とサニタイズが欠けているためです。これにより、認証されていない攻撃者が任意の PHP コードをフォームフィールドに注入し、エクスポート中にサーバー上で実行することが可能となり、サイトの完全な侵害につながる可能性があります。 前提条件として、カスタム・エクスポート・フィールドにはユーザが入力したデータを含むフィールドを含める必要があります。 | 8.3 |
CVE 2025-05-18 09:00:12.198199 |
| CVE-2025-25077 | dugbug Easy Chart Builder for WordPress には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、蓄積型 XSS が可能です。この問題は Easy Chart Builder for WordPress: n/a から 1.3 に影響します。 | 6.5 |
CVE 2025-05-18 09:00:12.195597 |
| CVE-2024-13841 | Builder Shortcode Extras - WordPress Shortcodes Collection to Save You Time plugin for WordPress は、1.0.0 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分であるため、'bse-elementor-template' ショートコードを経由した情報漏えいの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、Elementor で作成された非公開投稿や下書き投稿から、本来アクセスできないはずのデータを抜き取ることが可能です。 | 4.3 |
CVE 2025-05-18 03:00:11.979259 |
| CVE-2024-13492 | 0.9.5までのGuten Free Options WordPressプラグインは、ページに出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングを引き起こします。 | 6.1 |
CVE 2025-05-18 03:00:11.978407 |
| CVE-2024-13352 | 1.2.2までのLegull WordPressプラグインは、ページにパラメータを出力する前に、パラメータをサニタイズおよびエスケープしません。 | 7.1 |
CVE 2025-05-18 03:00:11.975322 |
| CVE-2025-1061 | WordPress 用 Nextend Social Login Pro プラグインは、3.1.16 までのバージョンにおいて、認証バイパスの脆弱性があります。これは、プラグインを経由したApple OAuth認証リクエストの際に提供されるユーザーの検証が不十分なためです。このため、未認証の攻撃者が電子メールにアクセスできる場合、管理者などのサイト上の既存ユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-05-17 23:00:05.202297 |
| CVE-2025-0859 | Post and Page Builder by BoldGrid - Visual Drag and Drop Editor plugin for WordPress は、1.27.6 までのすべてのバージョンにおいて、template_via_url() 関数を経由した Path Traversal の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、機密情報を含む可能性のあるサーバ上の任意のファイルの内容を読み取ることが可能になります。 | 6.5 |
CVE 2025-05-17 09:00:06.135405 |
| CVE-2024-13487 | The CURCY - Multi Currency for WooCommerce - The best free currency exchange plugin - Run smoothly on WooCommerce 9.x plugin for WordPress is vulnerable to arbitrary shortcode execution via the get_products_price() function in all versions up to and including, 2.2.5.これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-05-17 03:00:13.275874 |
| CVE-2025-0522 | 0.85までのLikeBot WordPressプラグインには、CSRFチェックがない箇所があり、サニタイズとエスケープが欠けているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができます。 | 4.7 |
CVE 2025-05-17 03:00:13.273393 |
| CVE-2024-13829 | お問い合わせフォーム、アンケート、クイズ用の WordPress フォームビルダープラグイン - Tripetto プラグイン for WordPress には、8.0.8 までのすべてのバージョンにおいて、'attachments.php' ファイルを経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、フォーム経由でアップロードされたファイルを含む機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-05-16 03:00:09.316664 |
| CVE-2025-1028 | WordPress 用 Contact Manager プラグインは、8.6.4 までのすべてのバージョンにおいて、コンタクトフォームのアップロード機能におけるファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、最初の拡張子が最後の拡張子よりも処理される特定の設定において、リモートでコードが実行される可能性があります。また、この脆弱性を悪用するためには、レースコンディションをうまく利用する必要があります。 | 8.1 |
CVE 2025-05-16 03:00:09.313695 |
| CVE-2024-13699 | WordPress 用 Qi Addons For Elementor プラグインは、1.8.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'cursor' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この脆弱性はバージョン 1.8.5、1.8.6、1.8.7 で部分的に修正されました。 | 6.4 |
CVE 2025-05-15 09:00:30.138477 |
| CVE-2024-13733 | WordPress 用 SKT Blocks - Gutenberg ベースの Page Builder プラグインは、1.7 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの skt-blocks/post-carousel ブロックを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-15 09:00:30.137860 |
| CVE-2024-13529 | WordPress 用テーマ SocialV - Social Network and Community BuddyPress は、2.0.15 までのすべてのバージョンにおいて、'socialv_send_download_file' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ターゲットシステムから任意のファイルをダウンロードすることが可能になります。 | 6.5 |
CVE 2025-05-15 09:00:30.136692 |
| CVE-2024-13510 | WordPress 用 ShopSite プラグインには、1.5.10 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数の nonce 検証の欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-15 09:00:30.135630 |
| CVE-2024-13356 | WordPress 用の DSGVO All in one for WP プラグインには、4.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、user_remove_form.php ファイルにおける nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを介して管理者ユーザーアカウントを削除することが可能になります。 | 6.5 |
CVE 2025-05-15 09:00:30.134462 |
| CVE-2024-13403 | WPForms - Easy Form Builder for WordPress - Contact Forms, Payment Forms, Surveys, & More plugin for WordPress は、1.9.3.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'fieldHTML' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-15 09:00:30.131452 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.