WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-9829 | WordPress 用 Download Plugin プラグインは、2.2.0 までのすべてのバージョンにおいて、'dpwap_handle_download_user' および 'dpwap_handle_download_comment' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者は、任意のコメントをダウンロードすることが可能になり、ユーザ名、電子メール、ハッシュ化されたパスワード、アプリケーションパスワード、セッショントークン情報などのユーザPIIや機密情報を含む任意のユーザのメタデータをダウンロードすることができます。 | 6.5 |
CVE 2025-01-31 03:00:20.831494 |
| CVE-2024-9927 | WordPress 用 WooCommerce Order Proposal プラグインは、2.0.5 までのすべてのバージョンにおいて、注文提案を経由した特権昇格の脆弱性があります。これは allow_payment_without_login 関数の不適切な実装によるものです。これにより、ショップマネージャレベル以上のアクセス権を持つ認証済みの攻撃者が、管理者を含む任意のユーザアカウントとして WordPress にログインすることが可能になります。 | 7.2 |
CVE 2025-01-30 23:00:17.543750 |
| CVE-2024-9231 | WordPress の WP-Members Membership Plugin プラグインは、3.4.9.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、任意のウェブスクリプトをページに注入して実行することが可能になります。 | 6.1 |
CVE 2025-01-30 09:00:05.686140 |
| CVE-2024-10189 | WordPress 用の Anchor Episodes Index (Spotify for Podcasters) プラグインは、2.1.10 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの anchor_episodes ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-30 09:00:05.683788 |
| CVE-2024-9591 | WordPress 用 Category and Taxonomy Image プラグインは、1.0.0 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'_category_image' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、エディタレベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-01-30 03:00:20.407607 |
| CVE-2024-9590 | WordPress 用の Category and Taxonomy Meta Fields プラグインは、1.0.0 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'wpaft_add_meta_textinput' 関数の image meta フィールドの値を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、エディタレベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-01-30 03:00:20.407048 |
| CVE-2024-9589 | WordPress 用の Category and Taxonomy Meta Fields プラグインは、1.0.0 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'wpaft_option_page' 関数の 'new_meta_name' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-01-30 03:00:20.406485 |
| CVE-2024-9588 | WordPress 用の Category and Taxonomy Meta Fields プラグインは、1.0.0 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。 これは、'wpaft_option_page' 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者がタクソノミーのメタを追加したり削除したりすることが可能になり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができます。 | 5.4 |
CVE 2025-01-30 03:00:20.405953 |
| CVE-2024-9541 | WordPress 用の News Kit Elementor Addons プラグインは、includes/widgets/canvas-menu/canvas-menu.php の render 関数を経由して、1.2.1 までのすべてのバージョンにおいて、機密情報暴露の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、および Elementor テンプレートのドラフトデータを抽出することが可能になります。 | 4.3 |
CVE 2025-01-30 03:00:20.405407 |
| CVE-2024-9627 | TeploBot - Telegram Bot for WP plugin for WordPress には、1.3 までのすべてのバージョンにおいて、'service_process' 関数の認可チェックが欠落しているため、機密情報漏洩の脆弱性があります。これにより、認証されていない攻撃者が、ボットを制御するための秘密のトークンである Telegram Bot Token を閲覧することが可能になります。 | 8.6 |
CVE 2025-01-30 03:00:20.404779 |
| CVE-2024-8852 | WordPress 用 All-in-One WP Migration and Backup プラグインは、7.86 までのすべてのバージョンにおいて、一般に公開されたログファイルを通じて機密情報を暴露される脆弱性があります。これにより、認証されていない攻撃者が、公開されたログファイルに含まれるフルパスなどの潜在的にセンシティブな情報を閲覧することが可能になります。 | 5.3 |
CVE 2025-01-30 03:00:20.404066 |
| CVE-2024-10003 | WordPress 用 Rover IDX プラグインは、3.0.0.2903 までのすべてのバージョンにおいて、複数の機能に関する機能チェックが欠落しているため、不正アクセス、変更、およびデータ損失の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインオプションを追加、変更、削除することが可能になります。 | 6.3 |
CVE 2025-01-30 03:00:20.403371 |
| CVE-2024-10002 | WordPress 用 Rover IDX プラグインには、3.0.0.2905 までのバージョンにおいて、認証バイパスの脆弱性があります。これは、'over_idx_refresh_social_callback' 関数の検証および機能チェックが不十分なためです。これにより、サブスクライバ・レベル以上の権限を持つ、認証された攻撃者が管理者にログインできてしまう。この脆弱性はバージョン 3.0.0.2905 で部分的に修正され、バージョン 3.0.0.2906 で完全に修正されました。 | 8.8 |
CVE 2025-01-30 03:00:20.400692 |
| CVE-2024-8625 | 2.4.0以前のTS Poll WordPressプラグインは、SQL文でパラメータを使用する前にパラメータをサニタイズおよびエスケープしないため、管理者がSQLインジェクション攻撃を行うことができる。 | 7.2 |
CVE 2025-01-29 03:00:08.797376 |
| CVE-2024-49627 | Noor Alam WordPress Image SEO にクロスサイトリクエストフォージェリ (CSRF) の脆弱性があり、クロスサイトリクエストフォージェリが可能です。この問題は、n/a から 1.1.4 までの WordPress Image SEO に影響します。 | 4.3 |
CVE 2025-01-28 09:00:20.499084 |
| CVE-2024-9897 | WordPress 用 StreamWeasels Twitch Integration プラグインは、1.8.6 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの sw-twitch-embed ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-27 09:00:05.722767 |
| CVE-2024-9889 | WordPress 用 Elementor プラグイン ElementInvader Addons には、1.2.9 までのすべてのバージョンにおいて、Page Loader ウィジェットを経由した Sensitive Information Exposure の脆弱性がある。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、アクセスすべきでないプライベート/下書き/パスワードで保護された投稿、ページ、Elementorテンプレートを閲覧することが可能になります。 | 4.3 |
CVE 2025-01-27 03:00:07.348431 |
| CVE-2023-6243 | EventON PRO - WordPress Virtual Event Calendar Plugin プラグインは、4.6.8 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは admin_test_email 関数の nonce 検証の欠落または不正確さに起因します。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、任意のメールアドレスにテストメールを送信することが可能になります。 | 4.3 |
CVE 2025-01-27 03:00:07.347582 |
| CVE-2024-9219 | WordPress Social Share Buttons プラグインは、1.19 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 | 6.1 |
CVE 2025-01-27 03:00:07.346630 |
| CVE-2019-25218 | WordPress 用の Photo Gallery Slideshow & Masonry Tiled Gallery プラグインは、1.0.3 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリに十分な準備がないため、'id' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 4.9 |
CVE 2025-01-27 03:00:07.343435 |
| CVE-2024-9593 | WordPress 用の Time Clock プラグインおよび Time Clock Pro プラグインには、1.2.2 (Time Clock 用) および 1.1.4 (Time Clock Pro 用) までのバージョンにおいて、'etimeclockwp_load_function_callback' 関数を経由したリモートコード実行の脆弱性があります。これにより、認証されていない攻撃者がサーバー上でコードを実行できるようになります。呼び出される関数のパラメータは指定できません。 | 8.3 |
CVE 2025-01-26 09:00:06.276384 |
| CVE-2024-9674 | WordPress 用プラグイン Debrandify - Remove or Replace WordPress Branding には、1.1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-26 09:00:06.275802 |
| CVE-2024-9425 | WordPress 用の Advanced Category and Custom Taxonomy Image プラグインは、1.0.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの ad_tax_image ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-26 09:00:06.275147 |
| CVE-2024-49231 | Peter CyClop WordPress Video には、Web ページ生成時の入力の不適切な中和（XSS または 'クロスサイトスクリプティング'）の脆弱性があり、Stored XSS が可能です。この問題は、n/a から 1.0 までの WordPress Video に影響します。 | 6.5 |
CVE 2025-01-26 09:00:06.274405 |
| CVE-2024-10057 | WordPress 用 RSS Feed Widget プラグインは、2.9.9 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの rfw-youtube-videos ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-26 09:00:06.271748 |
| CVE-2024-10080 | WordPress 用 WP Easy Post Types プラグインは、1.4.4 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、post meta を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-26 03:00:05.540652 |
| CVE-2024-10079 | WordPress 用 WP Easy Post Types プラグインは、1.4.4 までのバージョンにおいて、'ajax_import_content' 関数の 'text' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、購読者レベル以上の権限を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なプラグインには POP チェーンが存在しません。対象のシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 8.8 |
CVE 2025-01-26 03:00:05.539645 |
| CVE-2024-10055 | WordPress 用の Click to Chat - WP Support All-in-One Floating Widget プラグインは、2.3.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの wpsaio_snapchat ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-26 03:00:05.537663 |
| CVE-2024-9703 | WordPress 用 Arconix Shortcodes プラグインは、2.1.12 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'button' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-26 03:00:05.536634 |
| CVE-2024-9206 | WordPress 用 MAS Companies For WP Job Manager プラグインは、1.0.13 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-26 03:00:05.535714 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.