WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-8425 | WordPress 用 My WP Translate プラグインは、1.1 までのすべてのバージョンで ajax_import_strings() 関数の機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-12-13 09:00:07.498533 |
| CVE-2025-8423 | WordPress 用 My WP Translate プラグインは、1.1 までのすべてのバージョンにおいて、 mtswpt_remove_plugin() および ajax_update_export_code() 関数の機能チェックが欠落しているため、 データが不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の WordPress オプションを読み込んだり削除したりすることが可能となり、サービス拒否を引き起こす可能性があります。 | 5.4 |
CVE 2025-12-13 09:00:07.497879 |
| CVE-2025-8422 | Propovoice：WordPress 用の All-in-One Client Management System プラグインは、1.7.6.7 までのすべてのバージョンにおいて、 send_email() 関数を経由した任意のファイル読み込みの脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。 | 7.5 |
CVE 2025-12-13 09:00:07.496898 |
| CVE-2025-8417 | WordPress 用の Catalog Importer, Scraper & Crawler プラグインは、5.1.4 までのすべてのバージョンにおいて、 PHP コードインジェクションの脆弱性があります。これは、推測可能な数値トークン (例: ?key= 900001705) を適切な認証なしに使用していることと、 ユーザーが提供した入力に対して安全ではない eval() を使用していることが原因です。これにより、認証されていない攻撃者が数値キーを推測あるいは総当りすることで、 偽装されたリクエストを使用してサーバー上で任意の PHP コードを実行することが可能となります。 | 8.1 |
CVE 2025-12-13 09:00:07.495782 |
| CVE-2025-8398 | azurecurveのWordPress用BBCodeプラグインは、2.0.4までのバージョンにおいて、入力のサニタイズとユーザー属性の出力エスケープが不十分なため、プラグインの'url'ショートコードを経由したストアドクロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.495126 |
| CVE-2025-8392 | WordPress 用 Mitfahrgelegenheit プラグインは、1.1.5 までのすべてのバージョンにおいて、 入力サニタイズと出力エスケープが不十分なため、'date' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.494517 |
| CVE-2025-8318 | WordPress 用 Jobify プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.4.4 までのすべてのバージョンにおいて、'keyword' パラメータを経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.493860 |
| CVE-2025-8316 | WordPress 用 Certifica WP プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.1 までのすべてのバージョンにおいて、'evento' パラメータを介した保存型クロスサイトスクリプティングの脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-12-13 09:00:07.492907 |
| CVE-2025-8215 | WordPress 用 Elementor プラグイン Responsive Addons には、1.7.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.492340 |
| CVE-2025-5801 | WordPress 用 Digital Events Calendar プラグインは、1.0.8 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'column' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.491715 |
| CVE-2025-0763 | WordPress用Ultimate Classified Listingsプラグインは、1.6までのすべてのバージョンにおいて、save_custom_fields関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者がプラグインのカスタムフィールドを変更することが可能です。 | 4.3 |
CVE 2025-12-13 09:00:07.490837 |
| CVE-2025-8479 | WordPress 用 Zoho Flow プラグインには、2.14.1 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、zoho_flow_deactivate_plugin 関数の nonce バリデーションが欠落しているか、正しくないことに起因します。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、タイポグラフィの設定を変更することが可能になります。 | 4.3 |
CVE 2025-12-13 09:00:07.489869 |
| CVE-2025-9034 | 1.3.5より前のWp Edit Password Protected WordPressプラグインは、ユーザーをその値にリダイレクトする前にパラメータを検証しないため、Open Redirect問題が発生する。 | 6.1 |
CVE 2025-12-13 09:00:07.489245 |
| CVE-2025-9776 | WordPress 用プラグイン CatFolders - Tame Your WordPress Media Library by Category は、2.5.2 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、CSV インポートコンテンツを経由した時間ベースの SQL インジェクションの脆弱性があります。 このため、Authorレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能です。 | 6.5 |
CVE 2025-12-13 09:00:07.488232 |
| CVE-2025-7718 | WordPress用のResideo - Real Estate WordPress ThemeプラグインのResideoプラグインは、2.5.4までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、電子メールなどの詳細情報を更新する前に、プラグインがユーザーの身元を適切に検証しないことが原因です。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、管理者を含む任意のユーザのメールアドレスを変更し、それを利用してユーザのパスワードをリセットし、そのアカウントにアクセスすることが可能です。 | 8.8 |
CVE 2025-12-13 09:00:07.487137 |
| CVE-2025-9979 | WordPress用Maspikプラグインは、バージョン2.5.6以前において、Missing Authorizationの脆弱性があります。これは、Maspik_spamlog_download_csv 関数の機能チェックが欠落しているためです。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ブロックされた送信試行を含むスパムログデータベースをエクスポートしてダウンロードすることが可能になります。 | 4.3 |
CVE 2025-12-13 09:00:07.485644 |
| CVE-2025-9888 | WordPress 用 Maspik - Ultimate Spam Protection プラグインは、2.5.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは clear_log 関数における nonce 検証の欠落または不正確さが原因です。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができる偽造リクエストによって、すべてのスパムログをクリアすることが可能です。 | 4.3 |
CVE 2025-12-13 09:00:07.484647 |
| CVE-2025-9857 | Heateor Login - Social Login Plugin plugin for WordPress は、1.1.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'Heateor_Facebook_Login' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.484034 |
| CVE-2025-9622 | WordPress 用 WP Blast | SEO & Performance Booster プラグインは、1.8.6 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、Settings クラスの複数の管理アクションで nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、キャッシュパージ、サイトマップクリア、プラグインデータパージ、スコアリセット操作をトリガーすることが可能です。 | 4.3 |
CVE 2025-12-13 09:00:07.483440 |
| CVE-2025-9463 | WooCommerce 用の Payments プラグインと Checkout プラグイン：WordPress用のStripe、PayPal、Square、Authorize.netプラグインは、1.117.5までのすべてのバージョンにおいて、'order_by'パラメータを経由した時間ベースのSQLインジェクションの脆弱性があります。 これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-12-13 09:00:07.482758 |
| CVE-2025-9367 | WordPress 用 Welcart e-Commerce プラグインには、入力のサニタイズと出力のエスケープが不十分なため、2.11.20 までのすべてのバージョンにおいて、設定を介した Stored Cross-Site Scripting の脆弱性があります。これにより、エディタレベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-12-13 09:00:07.481795 |
| CVE-2025-8778 | WordPress 用 NitroPack プラグインは、1.18.4 までのすべてのバージョンにおいて nitropack_set_compression_ajax() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が nitropack-enableCompression オプションを更新し、プラグインの圧縮設定を効果的に変更することが可能になります。 | 4.3 |
CVE 2025-12-13 09:00:07.481117 |
| CVE-2025-7843 | WordPress 用 Auto Save Remote Images (Drafts) プラグインは、1.0.9 までのすべてのバージョンにおいて、 fetch_images() 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションから任意の場所にウェブリクエストを行うことが可能になり、内部サービスからの情報の問い合わせや変更に使用される可能性があります。 | 6.4 |
CVE 2025-12-13 09:00:07.480243 |
| CVE-2025-7826 | WordPress 用の Testimonial プラグインは、2.3 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリに十分な準備がないため、'iNICtestimonial' ショートコード経由で SQL インジェクションを受ける脆弱性があります。これにより、コントリビューター・レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-12-13 09:00:07.479629 |
| CVE-2025-7049 | WordPress 用 WPGYM - Wordpress Gym Management System プラグインは、67.7.0 までのすべてのバージョンにおいて、ユーザが制御するキーのバリデーションが欠落しているため、'MJ_gmgt_gmgt_add_user' 関数を経由して特権を昇格される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、管理者ユーザを含むあらゆるユーザの電子メール、パスワード、およびその他の詳細を変更することが可能になります。 | 8.8 |
CVE 2025-12-13 09:00:07.478735 |
| CVE-2025-6189 | WordPress 用 Duplicate Page and Post プラグインは、2.9.5 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'meta_key' パラメータを経由した時間ベースの SQL インジェクションに対して脆弱です。 このため、コントリビューターレベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-12-13 09:00:07.478139 |
| CVE-2025-10142 | WordPress 用 PagBank / PagSeguro Connect para WooCommerce プラグインは、4.44.3 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'status' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 これにより、Shop Managerレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 4.9 |
CVE 2025-12-13 09:00:07.477544 |
| CVE-2025-10126 | WordPress 用 MyBrain Utilities プラグインは、1.0.8 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'mbumap' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-13 09:00:07.476543 |
| CVE-2025-10049 | WordPress 用の Responsive Filterable Portfolio プラグインは、1.0.24 までのすべてのバージョンにおいて、HdnMediaSelection_image フィールドを介したファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2025-12-13 09:00:07.475928 |
| CVE-2025-10040 | WordPress 用プラグイン WP Import - Ultimate CSV XML Importer for WordPress は、7.27 までのすべてのバージョンにおいて、'get_ftp_details' AJAX アクションの機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、設定された SFTP/FTP 認証情報のセットを取得することが可能になります。 | 7.7 |
CVE 2025-12-13 09:00:07.475345 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.