WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-11226 | WordPress 用 FireCask Like & Share Button プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'width' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.382127 |
| CVE-2024-13404 | WordPress 用 Link Library プラグインは、7.7.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'searchll' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。 | 6.1 |
CVE 2025-05-01 09:00:07.381591 |
| CVE-2024-12104 | WordPress 用の Visual Website Collaboration, Feedback & Project Management - Atarim プラグインは、4.0.9 までのすべてのバージョンにおいて、wpf_delete_file および wpf_delete_file 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者がプロジェクトのページやファイルを削除することが可能になります。 | 5.3 |
CVE 2025-05-01 09:00:07.381056 |
| CVE-2024-12005 | WordPress 用 WP-BibTeX プラグインには、3.0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wp_bibtex_option_page() 関数における nonce バリデーションの欠落または不正確さが原因です。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックさせるなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入することが可能です。 | 6.1 |
CVE 2025-05-01 09:00:07.380486 |
| CVE-2025-0371 | WordPress 用 JetElements プラグインは、2.7.2.1 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 いくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.379716 |
| CVE-2024-10936 | WordPress 用 String locator プラグインは、2.6.6 までのすべてのバージョンにおいて、 'recursive_unserialize_replace' 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在すると、 攻撃者が任意のファイルを削除したり、機密データを取得したり、コードを実行したりできる可能性があります。この脆弱性を悪用するには、管理者が検索と置換を実行する必要があります。 | 8.8 |
CVE 2025-05-01 09:00:07.377143 |
| CVE-2024-13536 | WordPress 用の 1003 Mortgage Application プラグインは、1.87 までのすべてのバージョンにおいて Full Path Disclosure の脆弱性があります。これは、/inc/class/fnm/export.php ファイルが、エラーログを有効にした状態で一般にアクセス可能であることが原因です。これにより、認証されていない攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 5.3 |
CVE 2025-05-01 03:00:07.498325 |
| CVE-2025-0308 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.9.1 までのすべてのバージョンにおいて、search パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 7.5 |
CVE 2025-04-30 23:00:07.542190 |
| CVE-2024-8722 | WordPress 用 Import any XML or CSV File to WordPress PRO プラグインは、4.9.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ユーザーが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 5.5 |
CVE 2025-04-29 03:00:05.183766 |
| CVE-2024-13375 | WordPress 用 Adifier System プラグインは、3.1.7 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、adifier_recover() 関数を通じてパスワードなどの詳細情報を更新する前に、プラグインがユーザーの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者が、管理者を含む任意のユーザのパスワードを変更し、それを利用してアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-04-28 09:00:06.552952 |
| CVE-2024-13184 | The Ultimate WordPress Toolkit - WP Extended plugin for WordPress は、3.0.12 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、Login Attempts モジュールを経由した時間ベースの SQL インジェクションに対して脆弱です。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-04-28 09:00:06.550194 |
| CVE-2024-13392 | WordPress 用の Rate Star Review Vote - AJAX Reviews, Votes, Star Ratings プラグインは、1.6.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_reviews' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.098281 |
| CVE-2025-0515 | WordPress 用テーマ Buzz Club - Night Club, DJ and Music Festival WordPress Theme は、2.0.4 までのすべてのバージョンにおいて、'cmsmasters_hide_admin_notice' 関数の機能チェックが欠落しているため、不正なデータ改変によるサービス拒否の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイトのオプション値を「hide」に更新することが可能になります。これは、サイト上でエラーを発生させ、正当なユーザのサービスを拒否するようなオプションを更新したり、登録のようないくつかの値を真に設定するために利用することができます。 | 4.3 |
CVE 2025-04-28 03:00:09.097462 |
| CVE-2025-0369 | WordPress 用 JetEngine プラグインは、3.6.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'list_tag' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.096855 |
| CVE-2024-13519 | WordPress 用プラグイン MarketKing - Ultimate WooCommerce Multivendor Marketplace Solution には、入力のサニタイズと出力のエスケープが不十分なため、1.9.80 までのすべてのバージョンにおいて、プラグインの設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、ショップマネージャーレベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-04-28 03:00:09.096254 |
| CVE-2024-13517 | Easy Digital Downloads - eCommerce Payments and Subscriptions made easy plugin for WordPress は、3.3.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Title 値を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-04-28 03:00:09.095650 |
| CVE-2024-13433 | WordPress 用 Utilities for MTG プラグインは、1.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'mtglink' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.094973 |
| CVE-2024-13432 | WordPress 用 Webcamconsult プラグインは、1.5.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数におけるnonceの検証の欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-28 03:00:09.094288 |
| CVE-2024-13393 | WordPress 用の Video Share VOD - Turnkey Video Site Builder Script プラグインは、2.6.31 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_videos' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.093593 |
| CVE-2024-13391 | MicroPayments - Fans Paysite：WordPress 用の Paid Creator Subscriptions, Digital Assets, Tokens Wallet プラグインは、2.9.29 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_content_upload_guest' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.092897 |
| CVE-2024-13385 | WordPress 用の JSM Screenshot Machine Shortcode プラグインは、2.3.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'ssm' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.092301 |
| CVE-2024-13317 | WordPress 用 ShipWorks Connector for Woocommerce プラグインには、5.2.5 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'shipworks-wordpress' ページで nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを介して、サービスのユーザー名とパスワードを更新することが可能になります。 | 4.3 |
CVE 2025-04-28 03:00:09.091674 |
| CVE-2024-12696 | WordPress 用プラグイン Picture Gallery - Frontend Image Uploads, AJAX Photo List には、1.5.22 までのすべてのバージョンにおいて、入力のサニタイズとユーザが指定した属性の出力エスケープが不十分であるため、プラグインの videowhisper_picture_upload_guest ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.090956 |
| CVE-2024-12385 | WordPress 用 WP Abstracts プラグインには、2.7.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wpabstracts_load_status() および wpabstracts_delete_abstracts() 関数で nonce バリデーションが欠落しているためです。このため、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックさせるなどのアクションを実行させるために、 偽装されたリクエストを経由して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-28 03:00:09.090193 |
| CVE-2025-0554 | WordPress 用 Podlove Podcast Publisher プラグインは、バージョン <= 4.1.25 において、入力のサニタイズと出力のエスケープが不十分なため、Feed Name 値を介した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-04-28 03:00:09.089520 |
| CVE-2025-0318 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.9.1 までのすべてのバージョンにおいて、レスポンスに含まれるさまざまなエラーメッセージを介した情報漏えいの脆弱性があります。これにより、認証されていない攻撃者が wp_usermeta テーブルからデータを流出させる可能性があります。 | 5.3 |
CVE 2025-04-28 03:00:09.088833 |
| CVE-2024-9020 | 0.90.3以前のList category posts WordPressプラグインは、ショートコードを埋め込むページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしません。 | 5.4 |
CVE 2025-04-28 03:00:09.087101 |
| CVE-2024-13516 | WordPress 用 Kubio AI Page Builder プラグインは、2.3.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「message」パラメータを介した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-28 03:00:09.086087 |
| CVE-2024-13515 | WordPress 用の Image Source Control Lite - Show Image Credits and Captions プラグインは、2.28.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'path' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-28 03:00:09.085014 |
| CVE-2024-12071 | WordPress 用プラグイン Evergreen Content Poster - Auto Post and Schedule Your Best Content to Social Media には、1.4.4 までのすべてのバージョンにおいて、delete_network_post() 関数の機能チェックが欠落しているため、不正にデータを消失させられる脆弱性があります。これにより、認証されていない攻撃者が任意の投稿やページを削除することが可能になります。 | 5.3 |
CVE 2025-04-28 03:00:09.082346 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.