WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-23931 | NotFound WordPress Local SEO における SQL コマンドで使用される特殊要素の不適切な中和 ('SQL インジェクション') の脆弱性により、ブラインド SQL インジェクションが可能です。この問題は、n/a から 2.3 までの WordPress Local SEO に影響します。 | 9.3 |
CVE 2025-05-02 09:00:05.632514 |
| CVE-2025-23867 | NotFound WordPress ファイル検索に、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、Reflected XSS が可能です。この問題は、n/a から 1.2 までの WordPress ファイル検索に影響します。 | 7.1 |
CVE 2025-05-02 09:00:05.631964 |
| CVE-2025-23535 | clickandsell REAL WordPress Sidebar には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、蓄積型 XSS が可能です。この問題は REAL WordPress Sidebar: n/a から 0.1 に影響します。 | 7.1 |
CVE 2025-05-02 09:00:05.631042 |
| CVE-2024-13499 | The GamiPress - Gamification plugin to reward points, achievements, badges & ranks in WordPress plugin for WordPress は、7.2.1 までのすべてのバージョンにおいて、 gamipress_do_shortcode() 関数を経由して任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-05-02 09:00:05.630452 |
| CVE-2024-13496 | GamiPress - Gamification plugin to reward points, achievements, badges & ranks in WordPress plugin for WordPress は、7.3.1 までのすべてのバージョンにおいて、'orderby' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、既に存在するクエリに追加することが可能となります。注意: この脆弱性は以前、バージョン 7.2.2 で修正されたとして公表されましたが、これは誤りです。正しい修正バージョンは 7.3.2 です。 | 7.5 |
CVE 2025-05-02 09:00:05.629817 |
| CVE-2024-13447 | WordPress 用 WP Hotel Booking プラグインは、2.1.6 までのすべてのバージョンにおいて、 hotel_booking_load_order_user AJAX アクションの機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が、登録されたユーザの電子メールのリストを取得することが可能になります。 | 4.3 |
CVE 2025-05-02 09:00:05.625694 |
| CVE-2025-0429 | WordPress 用プラグイン "AI Power：WordPress 用プラグイン "Complete AI Pack" には、1.8.96 までのバージョンにおいて、 wpaicg_export_ai_forms() 関数を通じて $form['post_content'] 変数から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者が PHP Object を注入することが可能となります。脆弱なプラグインには POP チェーンが存在しません。対象のシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-05-02 03:00:05.881861 |
| CVE-2025-0428 | WordPress 用プラグイン "AI Power：WordPress 用プラグイン "Complete AI Pack" には、1.8.96 までのバージョンにおいて、 wpaicg_export_prompts 関数を通じて $form['post_content'] 変数から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者が PHP Object を注入することが可能となります。脆弱なプラグインには POP チェーンが存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在すると、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-05-02 03:00:05.880574 |
| CVE-2024-13361 | AI Power：WordPress 用プラグイン「Complete AI Pack」は、1.8.96 までのすべてのバージョンにおいて、wpaicg_save_image_media 関数の機能チェックが欠落しているため、不正アクセスを受ける可能性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が画像ファイルをアップロードし、添付ページへの POST リクエスト送信時に実行される image_alt 値にショートコード属性を埋め込むことが可能になります。 | 6.3 |
CVE 2025-05-02 03:00:05.879128 |
| CVE-2024-13360 | AI Power：WordPress 用プラグイン Complete AI Pack は、1.8.96 までのすべてのバージョンにおいて、wpaicg_troubleshoot_add_vector() を介した Server-Side Request Forgery の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 5.4 |
CVE 2025-05-02 03:00:05.877768 |
| CVE-2024-13319 | WordPress 用 Themify Builder プラグインは、7.6.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-02 03:00:05.876955 |
| CVE-2024-13406 | WordPress 用 XML for Google Merchant Center プラグインは、3.0.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'feed_id' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-02 03:00:05.876139 |
| CVE-2024-12857 | WordPress 用 AdForest テーマには、5.1.8 までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、プラグインがユーザーとしてログインする前に、ユーザーの身元を適切に検証しないことが原因です。このため、未認証の攻撃者は、電話番号によるワンタイムパスワードログインを設定している限り、どのユーザーでも認証することが可能です。 | 9.8 |
CVE 2025-05-02 03:00:05.875335 |
| CVE-2024-12117 | WordPress 用 Stackable - Page Builder Gutenberg Blocks プラグインは、3.13.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Button ブロックの 'title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-02 03:00:05.874431 |
| CVE-2024-12879 | WordPress 用 WPBot Pro Wordpress Chatbot プラグインは、13.5.5 までのすべてのバージョンにおいて、'qc_wp_latest_update_check_pro' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、チャットのクエリに対してシンプルテキストレスポンスを作成することが可能になります。 | 4.3 |
CVE 2025-05-02 03:00:05.873626 |
| CVE-2024-13590 | WordPress 用 Ketchup Shortcodes プラグインは、0.1.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'spacer' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-02 03:00:05.872779 |
| CVE-2024-13584 | WordPress 用の Picture Gallery - Frontend Image Uploads, AJAX Photo List プラグインは、1.5.19 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'videowhisper_pictures' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-02 03:00:05.871430 |
| CVE-2024-13426 | WordPress 用 WP-Polls プラグインは、2.77.2 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、COOKIE 経由の SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、すでに存在するクエリに追加のSQLクエリを追加することが可能になってしまいます。これらのクエリは保存され、結果は攻撃者に表示されないため、データベースに関する追加情報を取得するために悪用することはできません。しかしながら、適切に設定されたペイロードは、悪意のあるJavaScriptを注入することを可能にし、その結果、蓄積型クロスサイト・スクリプティングを引き起こします。 | 5.4 |
CVE 2025-05-02 03:00:05.867769 |
| CVE-2024-12614 | WordPress 用 Passwords Manager プラグインは、1.4.8 までのすべてのバージョンにおいて、'pms_save_setting' および 'post_new_pass' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新し、パスワードを追加することが可能になります。 | 7.5 |
CVE 2025-05-01 23:00:27.212630 |
| CVE-2024-13091 | WordPress 用 WPBot Pro Wordpress Chatbot プラグインは、13.5.4 までのすべてのバージョンにおいて、'qcld_wpcfb_file_upload' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。注意: この脆弱性を悪用するには、ChatBot Conversational Forms プラグインと Conversational Form Builder Pro アドオン プラグインが必要です。 | 9.8 |
CVE 2025-05-01 23:00:11.334315 |
| CVE-2025-22735 | TaxoPress WordPress Tag Cloud Plugin - Tag Groups に、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS が可能です。この問題は WordPress Tag Cloud Plugin - Tag Groups: n/a から 2.0.4 に影響します。 | 7.1 |
CVE 2025-05-01 09:00:07.386277 |
| CVE-2024-49333 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin に SQL インジェクションの脆弱性が存在します。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 8.5 |
CVE 2025-05-01 09:00:07.385695 |
| CVE-2024-49303 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin に SQL インジェクションの脆弱性が存在します。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 8.5 |
CVE 2025-05-01 09:00:07.385071 |
| CVE-2024-49300 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS が可能です。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 7.1 |
CVE 2025-05-01 09:00:07.384511 |
| CVE-2025-0450 | WordPress 用 Betheme プラグインは、27.6.1 までのすべてのバージョンにおいて、 ユーザーが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインのカスタム JS 機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.383932 |
| CVE-2024-13444 | WordPress 用 wp-greet プラグインには、6.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数の nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、付与された偽造リクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-05-01 09:00:07.383341 |
| CVE-2024-13230 | Social Share, Social Login and Social Comments Plugin - Super Socializer plugin for WordPress は、7.14 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'SuperSocializerKey' パラメータを経由した限定的な SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースからユーザ・メタデータを抽出するために使用できる追加の値を、すでに存在するクエリに追加することが可能です。 | 5.3 |
CVE 2025-05-01 09:00:07.382717 |
| CVE-2024-11226 | WordPress 用 FireCask Like & Share Button プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'width' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.382127 |
| CVE-2024-13404 | WordPress 用 Link Library プラグインは、7.7.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'searchll' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。 | 6.1 |
CVE 2025-05-01 09:00:07.381591 |
| CVE-2024-12104 | WordPress 用の Visual Website Collaboration, Feedback & Project Management - Atarim プラグインは、4.0.9 までのすべてのバージョンにおいて、wpf_delete_file および wpf_delete_file 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者がプロジェクトのページやファイルを削除することが可能になります。 | 5.3 |
CVE 2025-05-01 09:00:07.381056 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.