WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8715 | WordPress 用 Simple LDAP Login プラグインは、1.6.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-06 03:00:13.802757 |
| CVE-2024-9189 | WordPress 用 WooCommerce プラグイン EU/UK VAT Manager には、2.12.12 までのすべてのバージョンにおいて、alg_wc_eu_vat_exempt_vat_from_admin() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が、あらゆる注文の VAT ステータスを更新することが可能になってしまいます。 | 5.3 |
CVE 2025-01-05 23:00:08.594678 |
| CVE-2024-9023 | WordPress 用 WP-WebAuthn プラグインは、1.3.1 までのすべてのバージョンにおいて、 ユーザーが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの wwa_login_form ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-05 23:00:08.594101 |
| CVE-2024-8788 | WordPress 用 EU/UK VAT Manager for WooCommerce プラグインは、2.12.11 までのすべてのバージョンにおいて、URL 上で適切なエスケープを行わずに add_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-05 23:00:08.593463 |
| CVE-2024-8547 | WordPress 用 Simple Popup Plugin プラグインは、4.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの [popup] ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-05 23:00:08.592692 |
| CVE-2024-8353 | GiveWP - Donation Plugin and Fundraising Platform plugin for WordPress は、3.16.1 までのすべてのバージョンにおいて、'give_title' や 'card_address' といった複数のパラメータを経由した、信頼できない入力のデシリアライズによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。さらに POP チェーンの存在により、攻撃者は任意のファイルを削除し、 リモートでコードを実行することが可能となります。これは本質的には CVE-2024-5932 と同じ脆弱性ですが、 user_info に stripslashes_deep が存在することで is_serialized チェックがバイパスされることが発見されました。この問題は3.16.1でほぼ修正されましたが、3.16.2ではさらにハードニングが追加されました。 | 10.0 |
CVE 2025-01-05 23:00:08.590211 |
| CVE-2024-7149 | WordPress 用の Event Manager, Events Calendar, Tickets, Registrations - Eventin プラグインは、4.0.8 までのすべてのバージョンにおいて、複数のスタイルパラメータを経由したローカルファイルインクルード(Local File Inclusion)の脆弱性があります。これは、コントリビューターレベル以上のアクセス権を持つ、認証された攻撃者が、サーバー上の任意のファイルをインクルードして実行することを可能にし、それらのファイル内の任意の PHP コードの実行を可能にします。これは、アクセス制御を回避したり、機密データを取得したり、 画像や他の「安全な」ファイルタイプをアップロードしてインクルードする場合に コード実行を行うために使用することができます。 | 8.8 |
CVE 2025-01-05 09:00:12.390736 |
| CVE-2024-6931 | WordPress 用 The Events Calendar プラグインは、6.6.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、RSVP 名フィールドを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-01-05 09:00:12.388265 |
| CVE-2024-9049 | Beaver Builder - WordPress Page Builder プラグインは、2.8.3.6 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button Group モジュールを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-05 03:00:06.157654 |
| CVE-2024-8991 | WordPress 用 OSM - OpenStreetMap プラグインは、6.1.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの osm_map および osm_map_v3 ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-01-05 03:00:06.156880 |
| CVE-2024-8681 | WordPress 用 Elementor プラグイン Premium Addons には、4.10.52 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Media Grid ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-05 03:00:06.156158 |
| CVE-2024-9130 | GiveWP - Donation Plugin and Fundraising Platform plugin for WordPress は、3.16.1 までのすべてのバージョンにおいて、'order' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、GiveWP Manager レベル以上のアクセス権を持つ認証済みの攻撃者が、レガシー・ビュー・モード内の既存のクエリに追加の SQL クエリを追加することが可能となり、データベースから機密情報を抽出するために使用することができます。 | 7.2 |
CVE 2025-01-05 03:00:06.155476 |
| CVE-2024-8965 | WordPress 用 Absolute Reviews プラグインは、1.1.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、カスタム投稿基準の 'Name' フィールドを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-05 03:00:06.154777 |
| CVE-2024-8922 | WordPress 用 WooCommerce 商品カタログプラグイン Product Enquiry for WooCommerce には、2.2.33.32 までのすべてのバージョンにおいて、 enquiry_detail.php の信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトをインジェクションすることが可能です。脆弱なソフトウェアには既知の POP チェーンは存在しません。対象のシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、 機密データを取得したり、コードを実行したりできる可能性があります。 | 8.8 |
CVE 2025-01-05 03:00:06.154029 |
| CVE-2024-7714 | AI ChatBot with ChatGPT and Content Generator by AYS WordPress plugin before 2.1.0には十分なアクセス制御がないため、認証されていないユーザーがAI ChatBot with ChatGPT and Content Generator by AYS WordPress plugin before 2.1.0をOpenAIから切断し、AI ChatBot with ChatGPT and Content Generator by AYS WordPress plugin before 2.1.0を無効化することができます。ays_chatgpt_disconnect', 'ays_chatgpt_connect', 'ays_chatgpt_save_feedback' という複数のアクションにアクセスできます。 | 7.5 |
CVE 2025-01-05 03:00:06.152958 |
| CVE-2024-7713 | 2.1.0以前のWordPressプラグイン「AI ChatBot with ChatGPT and Content Generator by AYS」では、Open AI API Keyが公開されており、認証されていないユーザーでも取得できるようになっています。 | 7.5 |
CVE 2025-01-05 03:00:06.150159 |
| CVE-2024-8771 | Email Subscribers by Icegram Express - Email Marketing, Newsletters, Automation for WordPress & WooCommerce plugin for WordPress には、5.7.34 までのすべてのバージョンにおいて、'preview_email_template_design' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、非公開、パスワードで保護された、保留中の、下書きの投稿やページの内容を含む機密データを抽出することが可能になります。 | 4.3 |
CVE 2025-01-04 09:00:11.315022 |
| CVE-2024-9177 | WordPress 用 Themedy Toolbox プラグインは、1.0.14 までのすべてのバージョン、および 1.0.15 までのすべてのバージョンの themedy_col、themedy_social_link、themedy_alertbox、および themedy_pullleft ショートコードにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの themedy_button ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-04 09:00:11.314440 |
| CVE-2024-8633 | Form Maker by 10Web - Mobile-Friendly Drag & Drop Contact Form Builder plugin for WordPress は、1.15.27 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.5 |
CVE 2025-01-04 09:00:11.313820 |
| CVE-2024-8725 | WordPress 用の複数のプラグインおよび/またはテーマには、様々なバージョンにおいて、Limited File Upload の脆弱性があります。これは、低特権ロールが .css と .js ファイルを任意のディレクトリにアップロードできないようにするための適切なチェックが欠けているためです。このため、サブスクライバーレベル以上のアクセス権を持ち、管理者からパーミッションを与えられた認証済みの攻撃者が、WordPress のルートディレクトリ内の任意のディレクトリに .css と .js ファイルをアップロードすることが可能になり、蓄積型クロスサイトスクリプティングにつながる可能性があります。この脆弱性を悪用するには、Advanced File Manager Shortcodes プラグインをインストールする必要があります。 | 6.8 |
CVE 2025-01-04 09:00:11.313111 |
| CVE-2024-8704 | WordPress 用の Advanced File Manager プラグインは、5.2.8 までのすべてのバージョンにおいて、'fma_locale' パラメータを経由した Local JavaScript File Inclusion の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行を許してしまいます。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コード実行を行ったりすることが可能となります。 | 7.2 |
CVE 2025-01-04 09:00:11.312467 |
| CVE-2024-8126 | WordPress 用 Advanced File Manager プラグインは、5.2.8 までのすべてのバージョンにおいて、'class_fma_connector.php' ファイルを経由した任意のファイルアップロードに対して脆弱です。これにより、Subscriber レベル以上のアクセス権を持ち、管理者からパーミッションを与えられた、認証された攻撃者が、新しい .htaccess ファイルをアップロードすることが可能となり、その後、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることで、リモートでコードを実行される可能性があります。 | 7.5 |
CVE 2025-01-04 09:00:11.311839 |
| CVE-2024-9173 | WordPress 用プラグイン GF Custom Style には、2.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザーが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-04 09:00:11.311230 |
| CVE-2024-9127 | WordPress 用 Super Testimonials プラグインは、3.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'alignment' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-04 09:00:11.310624 |
| CVE-2024-9125 | WordPress 用の king_IE プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-04 09:00:11.310026 |
| CVE-2024-9117 | WordPress 用 Mapplic Lite プラグインには、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザーが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-04 09:00:11.309345 |
| CVE-2024-9115 | WordPress の Common Tools for Site プラグインは、1.0.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-04 09:00:11.308684 |
| CVE-2022-4541 | WordPress 向けの WordPress Visitors プラグインは、1.0 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、なりすまされた HTTP ヘッダ値を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザが nm_vistior ページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 7.2 |
CVE 2025-01-04 09:00:11.308075 |
| CVE-2024-9025 | Sight - Professional Image Gallery and Portfolio plugin for WordPress は、1.1.2 までのすべてのバージョンにおいて、'handler_post_title' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、認証されていない攻撃者は、非公開、保留中、破棄済み、および下書きの投稿タイトルを公開することが可能です。悪用に成功するには、Elementorプラグインがインストールされ、有効化されている必要があります。 | 5.3 |
CVE 2025-01-04 09:00:11.307332 |
| CVE-2024-8872 | WordPress 用 WooCommerce プラグイン Store Hours には、4.3.20 までのすべてのバージョンで URL に適切なエスケープを施さずに add_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-04 09:00:11.304750 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.