WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-1515 | WordPress 用 WP Real Estate Manager プラグインは、2.8 までのすべてのバージョンにおいて認証バイパスの脆弱性があります。これは、LinkedInのログイン要求プロセスにおける本人確認が不十分なためです。これにより、認証されていない攻撃者が公式の認証をバイパスし、管理者を含むサイト上の任意のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-06-01 09:00:20.104259 |
| CVE-2024-13655 | WordPress 用テーマ Flex Mag - Responsive WordPress News Theme は、3.5.2 までのすべてのバージョンにおいて、propanel_of_ajax_callback() 関数の機能チェックが欠落しているため、不正なデータ改変によるサービス拒否の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者が、WordPressサイト上の任意のオプション値を削除することが可能になります。これを利用して、サイトにエラーを発生させ、正当なユーザのサービスを拒否するようなオプションを削除することができる。 | 8.1 |
CVE 2025-06-01 09:00:18.997043 |
| CVE-2024-13320 | CURCY - WooCommerce Multi Currency - Currency Switcher plugin for WordPress は、2.3.6 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'wc_filter_price_meta[where]' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能です。 | 7.5 |
CVE 2025-06-01 09:00:17.747947 |
| CVE-2024-12809 | WordPress 用 Wishlist プラグインは、1.0.43 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'wishlist_button' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-01 09:00:16.608411 |
| CVE-2025-0749 | WordPress用テーマ「Homey」は、2.4.3までのバージョンにおいて認証バイパスの脆弱性があります。これは、'verification_id' の値が空に設定され、ダッシュボードのユーザープロファイルページで空でないことのチェックが欠落しているためです。これにより、認証されていない攻撃者が最初に認証されたユーザーにログインすることが可能になってしまいます。 | 8.1 |
CVE 2025-06-01 09:00:15.430799 |
| CVE-2025-0748 | WordPress 用テーマ Homey には、2.4.3 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'homey_verify_user_manually' 関数における nonce 検証の欠落または不正確さによるものです。このため、認証されていない攻撃者が偽造したリクエストを使ってユーザーを更新し、サイト管理者を騙してリンクをクリックさせるなどのアクションを実行させることが可能です。 | 4.3 |
CVE 2025-06-01 09:00:14.331061 |
| CVE-2024-13526 | EventPrime - Events Calendar, Bookings and Tickets plugin for WordPress は、4.0.7.3 までのすべてのバージョンにおいて、export_submittion_attendees 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のイベントの出席者リストをダウンロードすることが可能です。 | 4.3 |
CVE 2025-06-01 09:00:13.133747 |
| CVE-2025-1666 | WordPress 用 Cookie バナープラグイン - Cookiebot CMP by Usercentrics プラグインは、4.4.1 までのすべてのバージョンにおいて、send_uninstall_survey() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブサイトを代表してアンインストールアンケートを送信することが可能です。 | 4.3 |
CVE 2025-06-01 09:00:11.846351 |
| CVE-2025-1383 | WordPress 用 Podlove Podcast Publisher プラグインには、4.2.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、ajax_transcript_delete()関数におけるnonceバリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを介して、任意のエピソードのトランスクリプトを削除することが可能になります。 | 4.3 |
CVE 2025-06-01 09:00:10.645166 |
| CVE-2025-1672 | WordPress 用 Notibar - Notification Bar for WordPress プラグインは、2.1.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-06-01 09:00:09.396275 |
| CVE-2024-13897 | WordPress 用の Moving Media Library プラグインは、1.22 までのすべてのバージョンにおいて、 generate_json_page 関数のファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者がサーバー上の任意のファイルを削除することが可能になり、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 6.5 |
CVE 2025-06-01 09:00:08.235432 |
| CVE-2024-13868 | URL Shortener | Conversion Tracking | AB Testing | WooCommerce WordPressプラグイン9.0.2は、ページにパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、管理者のような高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングを引き起こします。 | 6.1 |
CVE 2025-06-01 09:00:07.012460 |
| CVE-2025-1702 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.10.0 までのすべてのバージョンにおいて、'search' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-06-01 09:00:05.891090 |
| CVE-2025-1463 | WordPress 用 Spreadsheet Integration プラグインには、3.8.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、class-wpgsi-show.php スクリプト内の不適切な nonce バリデーションによるものです。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることで、非公開を含む任意の投稿を公開することが可能です。 | 4.3 |
CVE 2025-06-01 09:00:04.772178 |
| CVE-2024-13471 | WordPress 用 DesignThemes Core Features プラグインは、4.7 までのすべてのバージョンにおいて、dt_process_imported_file 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、認証されていない攻撃者がオペレーティングシステム上の任意のファイルを読み取ることが可能です。 | 7.5 |
CVE 2025-06-01 09:00:04.771594 |
| CVE-2024-13423 | WordPress 用テーマ Sparkling には、2.4.9 までのバージョンにおける 'sparkling_activate_plugin' および 'sparkling_deactivate_plugin' 関数の機能チェックが欠落しているため、プラグインを不正に有効化／無効化する脆弱性があります。これにより、認証されていない攻撃者が任意のプラグインを有効化/無効化することが可能になります。 | 5.3 |
CVE 2025-06-01 09:00:04.771098 |
| CVE-2024-12281 | WordPress 用テーマ Homey には、2.4.2 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、プラグインが新規アカウントを登録するユーザが自分のロールを設定できるようにしているためです。このため、未認証の攻撃者がEditorまたはShop Managerのロールを持つアカウントを作成することで、昇格した特権を得ることが可能になります。 | 9.8 |
CVE 2025-06-01 09:00:04.770605 |
| CVE-2024-11951 | WordPress 用の Homey Login Register プラグインには、2.4.0 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、このプラグインが新規アカウントを登録するユーザが自分のロールを設定できるようにしているためです。このため、認証されていない攻撃者が管理者ロールのアカウントを作成することで、昇格した特権を獲得することが可能です。 | 9.8 |
CVE 2025-06-01 09:00:04.770099 |
| CVE-2024-11153 | Content Control - 究極のコンテンツ制限プラグイン！WordPress 用の Restrict Content, Create Conditional Blocks & More プラグインは、2.5.0 までのすべてのバージョンにおいて、WordPress のコア検索機能を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、ログインユーザーなどの上位ロールに制限された投稿から機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-06-01 09:00:04.769575 |
| CVE-2025-0956 | WordPress 用 WooCommerce Recover Abandoned Cart プラグインは、24.3.0 までのすべてのバージョンにおいて、'raccookie_guest_email' クッキーからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性は影響を与えません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、機密データを取得したり、存在する POP チェーンに応じてコードを実行したりといったアクションを実行できる可能性があります。 | 8.1 |
CVE 2025-06-01 09:00:04.768440 |
| CVE-2025-0954 | WordPress 用の WP Online Contract プラグインは、5.1.4 までのすべてのバージョンにおいて、json_import() および json_export() 関数の機能チェックが欠落しているため、不正アクセスの可能性があります。このため、認証されていない攻撃者がプラグインの設定をインポートおよびエクスポートすることが可能です。 | 6.5 |
CVE 2025-06-01 09:00:04.767935 |
| CVE-2024-5667 | WordPress 用の複数のプラグインには、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、様々なバージョンにおいて、プラグインにバンドルされている Featherlight.js JavaScript ライブラリ（バージョン 1.7.13 から 1.7.14）を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-01 09:00:04.767420 |
| CVE-2024-13839 | Staff Directory プラグイン：WordPress 用 Company Directory プラグインは、4.3 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-01 09:00:04.766892 |
| CVE-2024-13815 | WordPress 用の The Listingo テーマには、3.2.7 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-06-01 09:00:04.766263 |
| CVE-2024-13811 | Lafka - Multi Store Burger - Pizza & Food Delivery WooCommerce Theme theme for WordPress は、4.5.7 までのすべてのバージョンにおいて、'lafka_import_lafka' AJAX アクションの機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サイトを上書きするデモデータをインポートすることが可能になります。 | 4.3 |
CVE 2025-06-01 09:00:04.765739 |
| CVE-2024-13810 | Zass - WooCommerce Theme for Handmade Artists and Artisans for WordPress は、3.9.9.10 までのすべてのバージョンにおいて、'zass_import_zass' AJAX アクションの機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、デモコンテンツをインポートし、サイトを上書きすることが可能になります。 | 4.3 |
CVE 2025-06-01 09:00:04.765218 |
| CVE-2024-13809 | Hero Slider - WordPress Slider Pluginプラグインは、1.3.5までのすべてのバージョンにおいて、ユーザーが提供したパラメータのエスケープが不十分で、既存のSQLクエリの準備が十分でないため、いくつかのパラメータを介してSQLインジェクションの脆弱性があります。 このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能です。 | 6.5 |
CVE 2025-06-01 09:00:04.764657 |
| CVE-2024-13787 | WordPress 用テーマ VEDA - MultiPurpose WordPress は、4.2 までのすべてのバージョンにおいて、 「veda_backup_and_restore_action」関数内の信頼できない入力のデシリアライズを介した PHP オブジェクトインジェクションの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性は影響を与えません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。 | 9.8 |
CVE 2025-06-01 09:00:04.764067 |
| CVE-2024-13780 | WordPress 用プラグイン Hero Mega Menu - Responsive WordPress Menu Plugin には、1.16.5 までのすべてのバージョンにおいて、hmenu_delete_menu() 関数におけるファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のディレクトリを削除することが可能になります。 | 6.5 |
CVE 2025-06-01 09:00:04.763557 |
| CVE-2024-13779 | WordPress 用プラグイン Hero Mega Menu - Responsive WordPress Menu Plugin には、入力のサニタイズと出力のエスケープが不十分なため、1.16.5 までのすべてのバージョンにおいて、'index' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-01 09:00:04.762985 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.