WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-4370 | WordPress 用の Brizy - Page Builder プラグインには、process_external_asset_urls 関数における認可の欠落、および store_file 関数におけるパス検証の欠落により、2.6.20 までのすべてのバージョンにおいて、ファイルアップロードが制限される脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に .TXT ファイルをアップロードすることが可能になります。 | 5.3 |
CVE 2025-10-29 03:00:09.395506 |
| CVE-2025-3075 | WordPress 用 Elementor Website Builder - More Than Just a Page Builder プラグインは、3.29.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'elementor-element' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、「要素キャッシュ」が有効になっているサイトにのみ影響します。 | 6.4 |
CVE 2025-10-29 03:00:09.394210 |
| CVE-2025-7811 | WordPress 用 StreamWeasels YouTube Integration プラグインは、1.4.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'data-uuid' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-10-29 03:00:09.393544 |
| CVE-2025-7810 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.4 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの 'data-uuid' 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 5.4 |
CVE 2025-10-29 03:00:09.392582 |
| CVE-2025-7809 | WordPress 用 StreamWeasels Twitch Integration プラグインは、1.9.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'data-uuid' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-10-29 03:00:09.391506 |
| CVE-2025-8104 | WordPress 用 Memory Usage プラグインには、3.98 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは wpmemory_install_plugin() 関数の nonce バリデーションが欠落しているためです。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる偽造リクエストを介して、いくつかのホワイトリストのプラグインのいずれかを静かにインストールすることが可能になります。 | 4.3 |
CVE 2025-10-29 03:00:09.390357 |
| CVE-2025-6991 | WordPress 用 kallyas テーマは、4.21.0 までのすべてのバージョンにおいて、'TH_LatestPosts4` ウィジェットを経由したローカルファイル インクルード（Local File Inclusion）の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、サーバー上の任意の .php ファイルをインクルードして実行することが可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これは、.php ファイルがアップロードされ、インクルードされる場合、 アクセス制御を回避したり、機密データを取得したり、コードを実行したりするために 使用されます。 | 7.5 |
CVE 2025-10-29 03:00:09.388764 |
| CVE-2025-6989 | WordPress 用テーマ Kallyas には、4.21.0 までのすべてのバージョンにおいて、 delete_font() 関数におけるファイルパスの検証が不十分なため、任意のフォルダを削除される脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のフォルダを削除することが可能です。 | 8.1 |
CVE 2025-10-29 03:00:09.387946 |
| CVE-2025-5529 | WordPress 用テーマ Educenter には、1.6.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Circle Counter Block を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.386219 |
| CVE-2025-8097 | WordPress 用 WoodMart テーマには、8.2.6 までのすべてのバージョンにおいて、不適切な入力検証の脆弱性があります。これは、woodmart_update_cart_item 関数の qty パラメータのバリデーションが不十分なためです。これにより、認証されていない攻撃者が、端数値を使用してカートの数量を操作することが可能となり、カートの合計を $0.00 に丸める極端に小さな数量 (例えば、0.00001) を設定することで、製品を無料で入手することができます。 | 5.3 |
CVE 2025-10-29 03:00:09.385352 |
| CVE-2025-7501 | WordPress 用 Wonder Slider Lite プラグインは、入力のサニタイズと出力のエスケープが不十分なため、14.4 までのすべてのバージョンにおいて、画像のタイトルと説明の DOM を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-10-29 03:00:09.384538 |
| CVE-2025-6987 | WordPress 用の Advanced iFrame プラグインは、2025.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの「advanced_iframe」ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.383920 |
| CVE-2025-8198 | WordPress用テーマ「MinimogWP - The High Converting eCommerce WordPress Theme」は、3.9.0までのすべてのバージョンにおいて、価格操作の脆弱性があります。これは、カートで数量を変更する際の数量値のチェックが不十分なためです。このため、認証されていない攻撃者がカートに商品を追加し、数量を端数に調整することで、端数に基づいて価格が変更される可能性があります。WooCommerceのバージョン9.8.2+がインストールされている場合、この脆弱性を悪用することはできません。 | 7.5 |
CVE 2025-10-29 03:00:09.382653 |
| CVE-2025-6895 | WordPress用Melapress Login Securityプラグインは、バージョン2.1.0から2.1.1において、get_valid_user_based_on_token()関数内の認可が欠落しているため、認証バイパスの脆弱性があります。これにより、任意のユーザメタ値を知っている認証されていない攻撃者が認証チェックをバイパスし、そのユーザとしてログインすることが可能になります。 | 9.8 |
CVE 2025-10-29 03:00:09.381788 |
| CVE-2025-8103 | WordPress 用 WPeMatico RSS Feed Fetcher プラグインには、2.8.7 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、handle_feedback_submission() 関数の nonce バリデーションが欠落しているためです。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストによってプラグインを無効にすることが可能です。 | 4.3 |
CVE 2025-10-29 03:00:09.380764 |
| CVE-2024-13507 | GeoDirectory - WP Business Directory Plugin and Classified Listings Directory plugin for WordPress は、2.8.97 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、dist パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-10-29 03:00:09.379266 |
| CVE-2023-7306 | WordPress 用の Frontend File Manager プラグインは、21.5 までのすべてのバージョンにおいて、 wpfm_delete_multiple_files() 関数の機能チェックが欠落しているため、 不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者が任意の投稿を削除することが可能になります。 | 7.5 |
CVE 2025-10-29 03:00:09.377141 |
| CVE-2025-5835 | WordPress 用 Droip プラグインは、2.2.0 までのすべてのバージョンにおいて、droip_post_apis() 関数のケイパビリティチェックが欠落しているため、データの不正な変更およびアクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者は、AJAXがいくつかの関数にフックするため、多くのアクションを実行することが可能になります。潜在的な影響には、任意の投稿の削除、任意の投稿の作成、投稿の複製、設定の更新、ユーザの操作、その他多くのものが含まれます。 | 8.8 |
CVE 2025-10-29 03:00:09.375990 |
| CVE-2025-5831 | WordPress 用 Droip プラグインは、2.2.0 までのすべてのバージョンにおいて、 make_google_font_offline() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-10-29 03:00:09.375137 |
| CVE-2025-7022 | 2.3までのMy Reservation System WordPressプラグインは、ページにパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、Reflected Cross-Site Scriptingが発生し、管理者などの高権限ユーザーに対して使用される可能性があります。 | 6.1 |
CVE 2025-10-29 03:00:09.374341 |
| CVE-2019-25224 | WordPress 用 WP Database Backup プラグインには、5.2 より前のバージョンにおいて mysqldump 関数を経由した OS コマンドインジェクションの脆弱性があります。この脆弱性は、認証されていない攻撃者がホストのオペレーティングシステム上で任意のコマンドを実行することを可能にします。 | 9.8 |
CVE 2025-10-29 03:00:09.372552 |
| CVE-2015-10144 | WordPress 用の Responsive Thumbnail Slider プラグインは、1.0.1 までのバージョンにおいて、画像アップローダー経由でのファイルタイプのサニタイズが欠落しているため、任意のファイルをアップロードされる脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバ上に任意のファイルを二重拡張子を使ってアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-10-29 03:00:09.371271 |
| CVE-2015-10143 | WordPress 用の Platform テーマには、1.4.4 (exclusive) までのすべてのバージョンにおいて、 *_ajax_save_options() 関数の機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、認証されていない攻撃者が WordPress サイトの任意のオプションを更新できるようになります。これを利用して、登録用のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 9.8 |
CVE 2025-10-29 03:00:09.370445 |
| CVE-2025-3614 | WordPress 用 Elementor Addons and Templates プラグイン ElementsKit には、入力のサニタイズと出力のエスケープが不十分なため、3.5.2 までのすべてのバージョンにおいて、カスタムウィジェットの URL 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.369163 |
| CVE-2025-8071 | WordPress 用 Mine CloudVod プラグインは、2.1.10 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「audio」パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.368292 |
| CVE-2025-7966 | WordPress 用の Get Youtube Subs プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.5 までのすべてのバージョンにおいて、'channel'、'layout'、'subs_count' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.367368 |
| CVE-2025-7959 | WordPress 用 Station Pro プラグインは、2.4.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'width' と 'height' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.366110 |
| CVE-2025-7835 | WordPress 用 iThoughts Advanced Code Editor プラグインは、1.2.10 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'ithoughts_ace_update_options' AJAX アクションの nonce バリデーションが欠落しているか、正しくないことに起因します。このため、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、 偽のリクエストを使ってプラグインの設定を更新することが可能です。 | 4.3 |
CVE 2025-10-29 03:00:09.364592 |
| CVE-2025-7822 | WordPress 用 WP Wallcreeper プラグインは、1.6.1 までのすべてのバージョンにおいて admin_notices フックのケイパビリティチェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がキャッシュを有効または無効にすることが可能です。 | 4.3 |
CVE 2025-10-29 03:00:09.361651 |
| CVE-2025-7780 | WordPress 用 AI Engine プラグインは、2.9.4 までのすべてのバージョンにおいて、 機密情報漏洩の脆弱性があります。simpleTranscribeAudio エンドポイントは get_audio() を呼び出す前に URL スキームを制限していません。このため、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が、ウェブサーバ上の任意のファイルを読み、プラグインの OpenAI API 統合経由でそれを流出させることが可能です。 | 6.5 |
CVE 2025-10-29 03:00:09.359899 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.