WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2023-5816 | WordPress 用 Code Explorer プラグインは、1.4.5 までのすべてのバージョンにおいて、任意の外部ファイルを読み取る脆弱性があります。これは、プラグインが WordPress 関連のファイルのみにアクセスすることを意図しているにもかかわらず、WordPress インスタンス外のファイルへのアクセスを制限していないことが原因です。このため、管理者レベルのアクセス権を持つ認証済みの攻撃者が、WordPressインスタンス外のファイルを読むことが可能になってしまう。 | 4.9 |
CVE 2025-02-07 03:00:55.619595 |
| CVE-2024-9990 | WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'crypto_connect_ajax_process::check' 関数の nonce 検証の欠落によるものです。このため、認証されていない攻撃者は、サイト管理者を騙り、リンクをクリックするなどのアクションを実行させることができる偽造リクエストによって、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 | 8.8 |
CVE 2025-02-05 09:00:39.174880 |
| CVE-2024-9989 | WordPress 用 Crypto プラグインには、2.15 までのバージョンにおいて認証バイパス の脆弱性があります。これは、「crypto_connect_ajax_process」関数内の「crypto_connect_ajax_process::log_in」関数への限定的な任意のメソッド呼び出しによるものです。これにより、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者など、サイトの既存ユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-02-05 09:00:39.174319 |
| CVE-2024-9988 | WordPress 用 Crypto プラグインは、2.15 までのバージョンにおいて認証バイパスに対する脆弱性があります。これは、'crypto_connect_ajax_process::register' 関数で提供されるユーザーのバリデーションが欠落しているためです。このため、未認証の攻撃者は、ユーザー名にアクセスできれば、管理者などのサイト上の既存ユーザーとしてログインできてしまいます。 | 9.8 |
CVE 2025-02-05 09:00:39.173761 |
| CVE-2024-50466 | DarkMySite DarkMySite - Advanced Dark Mode Plugin for WordPress darkmysite にクロスサイトリクエストフォージェリ (CSRF) の脆弱性 この問題は、DarkMySite - Advanced Dark Mode Plugin for WordPress: n/a から 1.2.8 に影響します。 | 4.3 |
CVE 2025-02-05 09:00:39.173161 |
| CVE-2024-50459 | この問題は、WordPress Stripe Donation and Payment Pluginのn/aから3.2.3までのバージョンに影響します。 | 5.3 |
CVE 2025-02-05 09:00:39.172592 |
| CVE-2024-9505 | WordPress 用 Beaver Builder - WordPress Page Builder プラグインは、2.8.4.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Button ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.171377 |
| CVE-2024-10226 | WordPress 用 Arconix Shortcodes プラグインは、2.1.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'box' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.170880 |
| CVE-2024-10181 | WordPress 用 Newsletters プラグインは、4.9.9.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの newsletters_video ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.170358 |
| CVE-2024-10360 | WordPress 用 Move Addons for Elementor プラグインには、1.3.5 までのすべてのバージョンにおいて、includes/widgets/accordion/widget.php、includes/widgets/remote-template/widget.php、およびその他の widget.php ファイルの render 関数を経由した、機密情報暴露の脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、およびドラフトテンプレートデータを抽出することが可能になります。 | 4.3 |
CVE 2025-02-05 09:00:39.169824 |
| CVE-2024-10266 | WordPress 用 Elementor プラグイン Premium Addons には、4.10.60 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Video Box ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.169300 |
| CVE-2024-10233 | WordPress 用 SMS Alert Order Notifications - WooCommerce プラグインは、3.7.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの sa_subscribe ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.168788 |
| CVE-2024-10185 | WordPress 用 StreamWeasels YouTube Integration プラグインは、1.3.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの sw-youtube-embed ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.168242 |
| CVE-2024-10184 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.1 までの全てのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの sw-kick-embed ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.167701 |
| CVE-2024-9376 | Kata Plus - Addons for Elementor - Widgets, Extensions and Templates plugin for WordPress は、1.4.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-02-05 09:00:39.167185 |
| CVE-2024-10437 | WordPress 用 WPC Smart Messages for WooCommerce プラグインは、4.2.1 までのすべてのバージョンで ajax_enable 関数の機能チェックが欠落しているため、不正なスマートメッセージの有効化/無効化の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、スマートメッセージを有効化または無効化することが可能になります。 | 4.3 |
CVE 2025-02-05 09:00:39.166628 |
| CVE-2024-10436 | WordPress 用 WPC Smart Messages for WooCommerce プラグインは、4.2.1 までの全てのバージョンにおいて、 get_condition_value 関数を経由したローカルファイルインクルード(Local File Inclusion)の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証された攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行が可能となります。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードする場合に コード実行を行ったりすることが可能になります。 | 8.8 |
CVE 2025-02-05 09:00:39.165989 |
| CVE-2024-10227 | WordPress 用 affiliate-toolkit プラグインは、3.6.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの atkp_product ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.165415 |
| CVE-2024-9438 | WordPress 用 SEUR Oficial プラグインは、2.2.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'change_service' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-05 09:00:39.164840 |
| CVE-2024-50427 | Devsoft Baltic OÜ SurveyJS: Drag & Drop WordPress Form Builder における危険なタイプのファイルの無制限アップロードの脆弱性この問題は、n/a から 1.9.136 までの SurveyJS: Drag & Drop WordPress Form Builder に影響します。 | 9.9 |
CVE 2025-02-05 09:00:39.164308 |
| CVE-2024-50415 | この問題は、Ads.Txt & App-ads.Txt Manager for WordPress: n/a から 1.1.7.1 に存在する、Ads.Txt & App-ads.Txt Manager for WordPress: n/a から 1.1.7.1 に存在する、Ads.Txt & App-ads.Txt Manager for WordPress: n/a から 1.1.7.1 に影響します。 | 5.9 |
CVE 2025-02-05 09:00:39.163758 |
| CVE-2024-10048 | WordPress 用の Post Status Notifier Lite および Premium プラグインは、1.11.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'page' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-02-05 09:00:39.163157 |
| CVE-2024-10312 | Exclusive Addons for Elementor plugin for WordPress には、2.7.4 までのすべてのバージョンにおいて、 elements/tabs/tabs.php の render 関数を経由した、機密情報暴露の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、およびドラフトテンプレートデータを抽出することが可能になります。 | 4.3 |
CVE 2025-02-05 09:00:39.162571 |
| CVE-2024-10008 | Masteriyo LMS - eLearning and Online Course Builder for WordPress plugin for WordPress は、1.13.3 までのすべてのバージョンにおいて、/wp-json/masteriyo/v1/users/$id REST API エンドポイントの認可チェックが欠落しているため、ユーザープロファイルを不正に変更される脆弱性があります。これにより、学生レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のユーザのロールを変更することが可能になります。その結果、攻撃者は管理者に権限を昇格させ、既存の管理者を学生に降格させることができます。 | 8.8 |
CVE 2025-02-05 09:00:39.161867 |
| CVE-2024-10000 | Masteriyo LMS - eLearning and Online Course Builder for WordPress plugin for WordPress には、1.13.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、質問の content パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、学生レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-05 09:00:39.161248 |
| CVE-2024-50496 | Web and Print Design AR For WordPress における危険なタイプのファイルの無制限アップロードの脆弱性 この問題は、AR For WordPress: n/a から 6.2 に影響します。 | 10.0 |
CVE 2025-02-05 09:00:39.160691 |
| CVE-2024-9629 | WordPress 用 Contact Form 7 + Telegram プラグインは、0.8.5 までのバージョンにおいて 'wpcf7_Telegram::ajax' 関数の機能チェックが欠落しているため、データの不正な改変や消失の脆弱性があります。これにより、購読者レベル以上のアクセス権を持つ、認証された攻撃者が購読を承認、一時停止、拒否することが可能になります。 | 5.4 |
CVE 2025-02-05 09:00:39.160112 |
| CVE-2024-50451 | この問題は、WordPress Meta Data and Taxonomies Filter (MDTF) の n/a から 1.3.3.4 までのバージョンに影響します。 | 6.5 |
CVE 2025-02-05 09:00:39.159434 |
| CVE-2024-9501 | WordPress 用 Wp Social Login and Register Social Counter プラグインは、3.0.7 までのすべてのバージョンにおいて認証バイパスの脆弱性があります。これは、ソーシャルログイントークンによって返されるユーザの検証が不十分なためです。このため、認証されていない攻撃者は、電子メールにアクセスすることができ、トークンを返すサービスの既存のアカウントを持っていないユーザであれば、サイトの管理者などの既存のユーザとしてログインすることが可能です。 | 9.8 |
CVE 2025-02-03 09:00:20.027515 |
| CVE-2024-10117 | WordPress 用 WP Crowdfunding プラグインは、2.1.11 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの wpcf_donate ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-02-03 09:00:20.025891 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.