WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-7955 | バージョン 1.5 から 1.6.8 までの RingCentral Communications プラグインには、 ringcentral_admin_login_2fa_verify() 関数内の不適切な検証による 認証バイパス (Authentication Bypass) の脆弱性があります。これにより、認証されていない攻撃者は、同一の偽のコードを提供するだけで、任意のユーザとしてログインすることが可能になります。 | 9.8 |
CVE 2025-11-08 23:00:09.595718 |
| CVE-2025-7956 | WordPress 用 Ajax Search Lite プラグインは、4.13.1 までのすべてのバージョンにおいて、AJAX 検索ハンドラの認可が欠落しているため、基本情報漏洩の脆弱性があります。このため、認証されていない攻撃者が AJAX リクエストを繰り返し発行し、保護された投稿の内容を 100 文字のウィンドウを転がるように漏洩させることが可能です。 | 5.3 |
CVE 2025-11-08 23:00:08.544168 |
| CVE-2024-13807 | WordPress 用 Xagio SEO プラグインは、7.1.0.5 までのすべてのバージョンにおいて、ファイル名の構造が弱く、ディレクトリが保護されていないため、バックアップ機能によって機密情報が漏洩する脆弱性があります。これにより、認証されていない攻撃者が、データベース全体やサイトのファイルを含むバックアップから機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-11-08 23:00:06.383743 |
| CVE-2025-8977 | WordPress 用 Simple Download Monitor プラグインは、3.9.33 までのすべてのバージョンにおいて、order パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 このため、Contributor レベル以上のアクセス権を持ち、Administrator から付与された権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-11-08 23:00:05.324087 |
| CVE-2025-9346 | WordPress 用 Booking Calendar プラグインは、10.14.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.322733 |
| CVE-2025-9345 | WordPress 用の Managefy プラグインによる File Manager、Code Editor、Backup には、1.4.8 までのすべてのバージョンにおいて、ajax_downloadfile() 関数を経由した Path Traversal の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、本来意図されたディレクトリ外のファイルに対してアクションを実行することが可能になります。 | 4.9 |
CVE 2025-11-08 23:00:05.321353 |
| CVE-2025-8603 | WordPress 用 Elementor プラグイン Unlimited Elements For Elementor には、入力のサニタイズと出力のエスケープが不十分なため、1.5.148 までのすべてのバージョンにおいて、いくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.320135 |
| CVE-2025-0951 | LiquidThemes による WordPress 用の複数のプラグインおよび/またはテーマには、様々なバージョンで liquid_reset_wordpress_before AJAX の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者は、サイトのすべてのプラグインを無効にすることが可能です。この問題をEnvatoに報告したところ、開発者はnonceチェックを追加したようですが、nonceはダッシュボードにアクセスできるすべてのユーザーに公開されるため、十分な保護にはなりません。 | 4.3 |
CVE 2025-11-08 23:00:05.318817 |
| CVE-2024-9648 | WordPress 用 WP ULike Pro プラグインは、1.9.3 までのすべてのバージョンにおいて、WP_Ulike_Pro_File_Uploader クラスのファイルタイプ検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、.php2、.php6、.php7、.phps、.pht、.phtm、.pgif、.shtml、.phar、.inc、.hphp、.ctp、.module、.html、.svgのような限定された任意のファイルを、影響を受けるサイトのサーバー上にアップロードすることが可能になり、クロスサイトスクリプティングのような他の攻撃を可能にする可能性があります。脆弱性が確認されたのは1.8.7までのバージョンだけですが、私たちが入手したパッチの中で最も早くテストされたバージョンは1.9.4です。 | 6.1 |
CVE 2025-11-08 23:00:05.317683 |
| CVE-2025-9352 | WordPress 用 Pronamic Google Maps プラグインは、2.4.1 までのすべてのバージョンにおいて、 入力サニタイズと出力エスケープが不十分なため、説明フィールドを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-11-08 23:00:05.316985 |
| CVE-2025-9344 | UsersWP - Front-end login form, User Registration, User Profile & Members Directory plugin for WP plugin for WordPress は、1.2.42 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの 'uwp_profile' および 'uwp_profile_header' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.315889 |
| CVE-2025-8897 | Beaver Builder - WordPress Page Builder プラグインは、2.9.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、''fl_builder'' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-11-08 23:00:05.314133 |
| CVE-2025-7812 | WordPress 用 Video Share VOD - Turnkey Video Site Builder Script プラグインは、2.7.6 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは adminExport() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、サーバーコマンド実行設定が有効になっている場合に設定を更新し、リモートコードを実行することが可能になります。 | 8.8 |
CVE 2025-11-08 23:00:05.313528 |
| CVE-2025-7732 | WordPress 用の Lazy Load for Videos プラグインは、2.18.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、その遅延ロードハンドラを経由した Stored Cross-Site Scripting の脆弱性があります。プラグインの JavaScript 登録ハンドラは、クライアントから提供された 'data-video-title' 属性と 'href' 属性を読み取り、デフォルトで HTML エンティティをデコードし、エスケープや検証を行わずに DOM シンクに直接渡します。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の Web スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.312584 |
| CVE-2025-8490 | WordPress 用 All-in-One WP Migration and Backup プラグインは、入力のサニタイズと出力のエスケープが不十分なため、7.97 までのすべてのバージョンにおいて、Import を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-11-08 23:00:05.311834 |
| CVE-2025-9277 | WordPress 用の SiteSEO - SEO Simplified プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.2.7 までのすべてのバージョンにおいて、壊れた preg_replace 式を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.309891 |
| CVE-2025-6366 | WordPress 用の Event List プラグインには、2.0.4 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、el_update_profile() 関数でプロフィールを更新する前に、プラグインがユーザの能力を適切に検証していないことが原因です。このため、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、自分の能力を管理者の能力に変更することが可能になってしまいます。 | 8.8 |
CVE 2025-11-08 23:00:05.309379 |
| CVE-2025-6247 | WordPress 用プラグイン WordPress Automatic Plugin には、3.118.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、その関数の一つで nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者がキャンペーンを更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 4.7 |
CVE 2025-11-08 23:00:05.308795 |
| CVE-2024-8860 | WordPress 用の Tourfic プラグインには、tf_order_status_email_resend_function, tf_visitor_details_edit_function の機能チェックが欠けているため、データを不正に変更される脆弱性があります、tf_checkinout_details_edit_function、tf_order_status_edit_function、tf_order_bulk_action_edit_function、tf_remove_room_order_ids、および tf_delete_old_review_fields 関数の機能チェックが欠落しているためです。14.5.これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が、注文ステータスメールの再送信、訪問者/注文の詳細の更新、チェックイン/アウトの詳細の編集、注文ステータスの編集、注文ステータスの一括更新の実行、ルームオーダーIDの削除、古いレビューフィールドの削除をそれぞれ行うことが可能になります。 | 4.3 |
CVE 2025-11-08 23:00:05.307394 |
| CVE-2025-5931 | WordPress 用 Dokan Pro プラグインには、4.0.5 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、スタッフのパスワードリセット中にパスワードを更新する前に、プラグインがユーザの身元を適切に検証しないことが原因です。これにより、ベンダーレベル以上のアクセス権を持つ認証された攻撃者が、スタッフのレベルまで特権を昇格させ、管理者のパスワードを含む任意のユーザーパスワードを変更して、そのアカウントにアクセスすることが可能になります。デフォルトでは、このプラグインは顧客がベンダーになることを許可しています。 | 8.8 |
CVE 2025-11-08 23:00:05.306774 |
| CVE-2025-9172 | WordPress 用 Vibes プラグインは、2.2.0 までのすべてのバージョンにおいて、 ユーザが提供したパラメータに対するエスケープが不十分であり、 既存の SQL クエリに対する準備が不十分であるため、 'resource' パラメータを経由した時間ベースの SQL インジェクションに対して脆弱です。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-11-08 23:00:05.306180 |
| CVE-2025-8562 | WordPress 用 Custom Query Shortcode プラグインは、0.4.0 までのすべてのバージョンにおいて、'lens' パラメータを経由した Path Traversal の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、機密情報を含む可能性のあるサーバ上のファイルの内容を読み取ることが可能になります。 | 6.5 |
CVE 2025-11-08 23:00:05.305661 |
| CVE-2025-8208 | WordPress 用 Spexo Addons for Elementor プラグインは、1.0.23 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカウントダウンウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.305166 |
| CVE-2025-5821 | WordPress 用 Case Theme User プラグインは、1.0.3 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、facebook_ajax_login_callback() によって事前に検証されたデータを使って、プラグインがユーザーを適切にログインさせないことが原因です。このため、認証されていない攻撃者は、サイトに既存のアカウントがあり、管理者ユーザの電子メールにアクセスできる限り、管理者ユーザとしてログインすることが可能です。 | 9.8 |
CVE 2025-11-08 23:00:05.304651 |
| CVE-2025-5060 | WordPress 用 Bravis User プラグインは、1.0.0 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。 これは、facebook_ajax_login_callback() を通じて事前に検証されたデータを使用して、プラグインがユーザーを適切にログインさせないことが原因です。このため、認証されていない攻撃者は、サイトに既存のアカウントがあり、管理者ユーザの電子メールにアクセスできる限り、管理者ユーザとしてログインすることが可能です。 | 8.1 |
CVE 2025-11-08 23:00:05.303429 |
| CVE-2025-7813 | Event Calendar, Event Booking, Registrations and Event Tickets - Eventin plugin for WordPress には、4.0.37 までのすべてのバージョンにおいて、proxy_image 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、認証されていない攻撃者がウェブアプリケーションから任意の場所にウェブリクエストを行うことが可能になり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 7.2 |
CVE 2025-11-08 23:00:05.302932 |
| CVE-2025-9131 | WordPress 用プラグイン Ogulo - 360° Tour には、1.0.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'slug' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.302452 |
| CVE-2025-9048 | WordPress 用 Wptobe-memberships プラグインは、3.4.2 までのすべてのバージョンにおいて、 del_img_ajax_call() 関数のファイルパスの検証が不十分なため、 任意のファイルを削除される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がサーバ上の任意のファイルを削除することが可能となり、適切なファイル（wp-config.php など）が削除されると、容易にリモートでコードが実行される可能性があります。 | 8.1 |
CVE 2025-11-08 23:00:05.301935 |
| CVE-2025-8062 | WordPress 用 WS Theme Addons プラグインは、2.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの ws_weather ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.301433 |
| CVE-2025-7957 | WordPress 用 ShortcodeHub プラグインは、1.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'author_link_target' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 23:00:05.300844 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.