WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-39639 | Nickolas Bossinas WordPress ファイルアップロードにアクセス制御の脆弱性（broken access control vulnerability in Nickolas Bossinas WordPress File Upload allows Exploiting incorrectly configured Access Control Security Levels）。この問題は、WordPress ファイルアップロードの n/a から 4.24.7 までのバージョンに影響します。 | 4.3 |
CVE 2025-02-09 09:00:06.489706 |
| CVE-2024-38792 | ConveyThis Translate Team Language Translate Widget for WordPress - ConveyThisに認証漏れの脆弱性 ACLによって適切に制限されていない機能へのアクセスが可能になります。この問題は、Language Translate Widget for WordPress - ConveyThisのn/aから234に影響します。 | 5.3 |
CVE 2025-02-09 09:00:06.489001 |
| CVE-2024-38690 | Avirtum iPanorama 360 WordPressバーチャルツアービルダーに認可の欠落による脆弱性があり、ACLによって適切に制限されていない機能へアクセス可能です。この問題は、iPanorama 360 WordPressバーチャルツアービルダー：n/aから1.8.3までに影響します。 | 5.3 |
CVE 2025-02-09 09:00:06.488376 |
| CVE-2024-37226 | WordPress用カンバンボードに認証漏れの脆弱性 WordPress用カンバンボードに、不正に設定されたアクセス制御セキュリティレベルを悪用される可能性があります。この問題は、WordPress用カンバンボード（n/a～2.5.21）に影響します。 | 5.3 |
CVE 2025-02-09 09:00:06.487689 |
| CVE-2024-37218 | WordPress Page Builder Sandwich Team Page Builder Sandwich - Front-End Page Builder に認証漏れの脆弱性 - 不正に設定されたアクセス制御セキュリティレベルの悪用が可能です。この問題は Page Builder Sandwich - Front-End Page Builder: n/a から 5.1.0 に影響します。 | 4.3 |
CVE 2025-02-09 09:00:06.487000 |
| CVE-2024-10367 | Otter Blocks - Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress は、3.0.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、REST API の SVG ファイルアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-09 09:00:06.486180 |
| CVE-2024-10232 | WordPress 用の AtomChat プラグインによるグループチャットとビデオチャットには、1.1.5 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの atomchat ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-09 09:00:06.483475 |
| CVE-2024-9655 | Gutenberg Blocks with AI by Kadence WP - Page Builder Features plugin for WordPress は、6.6.2 までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Icon ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-09 03:00:05.075017 |
| CVE-2024-7424 | WordPress 用の Multiple Page Generator Plugin - MPG プラグインは、4.0.1 までのすべてのバージョンにおいて、いくつかの機能のチェックが欠落しているため、データの不正な変更およびデータへのアクセスの脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、管理者用として意図されたこれらの機能を呼び出すことが可能となり、その結果、サブスクライバが csv ファイルをアップロードしたり、MPG プロジェクトの内容を閲覧したりできるようになります。 | 5.4 |
CVE 2025-02-09 03:00:05.072415 |
| CVE-2024-6480 | WordPress 用 WooCommerce プラグインの SIP Reviews Shortcode には、1.2.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、woocommerce_reviews ショートコードの 'no_of_reviews' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-08 09:00:13.674189 |
| CVE-2024-6479 | SIP Reviews Shortcode for WooCommerce plugin for WordPress は、1.2.3 までのすべてのバージョンにおいて、woocommerce_reviews ショートコードの 'no_of_reviews' 属性を経由した SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能です。 | 6.5 |
CVE 2025-02-08 09:00:13.671550 |
| CVE-2024-9446 | WordPress 用 WP Simple Anchors Links プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの wpanchor ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-08 03:00:05.633267 |
| CVE-2024-9434 | WordPress 用 WPGlobus Translate Options プラグインには、2.2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、on__translate_options_page() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が悪意のあるウェブスクリプトを注入したり、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを経由してプラグイン設定を更新したりすることが可能になります。 | 6.1 |
CVE 2025-02-08 03:00:05.632609 |
| CVE-2024-9430 | WordPress 用の Get Quote For Woocommerce - Request A Quote For Woocommerce プラグインは、1.0.0 までのすべてのバージョンにおいて、ct_tepfw_wp_loaded 関数の機能チェックが欠落しているため、見積もりデータに不正アクセスされる脆弱性があります。 これにより、認証されていない攻撃者が見積もり PDF および CSV ドキュメントをダウンロードする可能性があります。 | 5.3 |
CVE 2025-02-08 03:00:05.631807 |
| CVE-2024-9165 | WordPress 用プラグイン Gift Cards (Gift Vouchers and Packages) (WooCommerce Supported) には、4.4.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-08 03:00:05.631059 |
| CVE-2024-9700 | WordPress 用 Forminator Forms - 問い合わせフォーム、支払いフォーム、カスタムフォームビルダー プラグインは、1.36.0 までのすべてのバージョンにおいて、ユーザー制御キー 'entry_id' のバリデーションが欠落しているため、submit_quizzes() 関数経由で安全でない直接オブジェクト参照の脆弱性があります。これにより、認証されていない攻撃者が他のユーザのクイズ投稿を変更することが可能になります。 | 5.3 |
CVE 2025-02-08 03:00:05.630421 |
| CVE-2024-10392 | AI Power：WordPress 用プラグイン Complete AI Pack は、1.8.89 までのすべてのバージョンにおいて、'handle_image_upload' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-02-08 03:00:05.629632 |
| CVE-2024-9708 | WordPress 用 Easy SVG Upload プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-08 03:00:05.627242 |
| CVE-2024-10544 | WordPress 用 Woo Manage Fraud Orders プラグインは、6.1.7 までのすべてのバージョンにおいて、一般に公開されたログファイルを通して機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、公開されたログファイルに含まれるユーザーに関する潜在的にセンシティブな情報を閲覧することが可能になります。 | 5.3 |
CVE 2025-02-07 23:00:07.284335 |
| CVE-2024-9388 | WordPress 用 Black Widgets For Elementor プラグインは、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-07 09:00:19.367277 |
| CVE-2024-8512 | WordPress 用 W3SPEEDSTER プラグインには、7.26 までのすべてのバージョンにおいて、 hookBeforeStartOptimization() 関数の 'script' パラメータを経由したリモートコード実行の脆弱性があります。これは、プラグインが eval() にユーザからの入力を渡すためです。これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者がサーバ上でコードを実行することが可能になります。 | 9.1 |
CVE 2025-02-07 09:00:19.364890 |
| CVE-2024-8444 | 3.3.00以前のDownload Manager WordPressプラグインは、ショートコードのパラメータの一部をサニタイズしていないため、クロスサイトスクリプティングが発生します。 | 5.4 |
CVE 2025-02-07 03:00:55.631810 |
| CVE-2024-10223 | WordPress 用プラグイン WP Team - WordPress Team Member Plugin には、1.1.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの htteamember ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.630707 |
| CVE-2024-8871 | Pricing Tables WordPress Plugin - Easy Pricing Tables plugin for WordPress は、3.2.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-07 03:00:55.629055 |
| CVE-2024-10399 | WordPress 用 Download Monitor プラグインは、5.0.13 までのすべてのバージョンにおいて、ajax_search_users 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サイトユーザのユーザ名と電子メールを取得することが可能です。 | 4.3 |
CVE 2025-02-07 03:00:55.628059 |
| CVE-2024-9886 | WordPress 用の WP Baidu Map プラグインは、1.2.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'baidu_map' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.627054 |
| CVE-2024-9885 | WordPress 用 Widget または Sidebar Shortcode プラグインは、0.6.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sidebar' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.625903 |
| CVE-2024-9884 | WordPress 用の T(-) Countdown プラグインは、2.4.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'tminus' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.625232 |
| CVE-2024-8792 | WordPress の Subscribe to Comments プラグインは、2.3 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合に、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 | 6.1 |
CVE 2025-02-07 03:00:55.623207 |
| CVE-2024-8627 | WordPress用のUltimate TinyMCEプラグインは、入力のサニタイズと出力のエスケープが不十分なため、5.7までのすべてのバージョンにおいて、'field'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-07 03:00:55.622489 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.