WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13911 | WordPress用プラグイン「Database Backup and check Tables Automated With Scheduler 2024」は、2.35までのすべてのバージョンにおいて、/dashboard/backup.phpファイルを経由した機密情報暴露の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、データベースの完全な認証情報を含む機密データを抽出することが可能になります。 | 7.2 |
CVE 2025-06-09 03:00:15.176236 |
| CVE-2024-13806 | WordPress 用 The Authors List プラグインは、2.0.6 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.175610 |
| CVE-2024-12544 | SurveyJS: Drag & Drop WordPress Form Builder は、1.12.17 までのすべてのバージョンにおいて、SurveyJS_DeleteFile クラスのコールバック関数の機能チェックが欠落しているため、任意のファイルを削除する脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、サーバ上の任意のファイルを削除することが可能になり、適切なファイル（wp-config.php など）が削除されると、簡単にリモートでコードが実行される可能性があります。この関数は、1.12.20 の時点でも Cross-Site Request Forgery に対して脆弱です。 | 8.8 |
CVE 2025-06-09 03:00:15.174933 |
| CVE-2025-1730 | WordPress 用 Simple Download Counter プラグインは、2.0 までのすべてのバージョンにおいて、'simple_download_counter_download_handler' を経由した、任意のファイル読み込みの脆弱性があります。これにより、Authorレベル以上のアクセス権を持つ認証された攻撃者が、wp-config.phpや/etc/passwdのようなサーバー上のローカルファイルを含む機密データを抽出することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.174334 |
| CVE-2025-1502 | WordPress 用 IP2Location Redirection プラグインは、1.33.3 までのすべてのバージョンにおいて、'download_ip2location_redirection_backup' AJAX アクションの機能チェックが欠けているため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がプラグインの設定をダウンロードすることが可能になります。 | 5.3 |
CVE 2025-06-09 03:00:15.173561 |
| CVE-2025-1459 | WordPress 用 Page Builder by SiteOrigin プラグインは、2.31.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、埋め込みビデオ(PB)ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.172822 |
| CVE-2024-12824 | Nokri - Job Board WordPress Theme は、1.6.2 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、パスワードのような詳細情報を更新する前に、プラグインが空のトークンの値を適切にチェックしないことが原因です。このため、認証されていない攻撃者は、管理者を含む任意のユーザのパスワードを変更し、それを利用してそのアカウントにアクセスすることが可能です。 | 9.8 |
CVE 2025-06-09 03:00:15.171023 |
| CVE-2024-13901 | The Counter Box：Add Engaging Countdowns, Timers & Counters to Your WordPress Site plugin for WordPress は、2.0.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'content' パラメータを介した DOM-Based Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-06-09 03:00:15.170423 |
| CVE-2025-0820 | WordPress 用 Clicface Trombi プラグインは、入力のサニタイズと出力のエスケープが不十分なため、2.08 までのすべてのバージョンにおいて、'nom' パラメータを介した保存型クロスサイトスクリプティングの脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.169809 |
| CVE-2024-9217 | WordPress 用 Currency Switcher for WooCommerce プラグインは、2.16.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-09 03:00:15.169167 |
| CVE-2024-9212 | WordPress 用 SKU Generator for WooCommerce プラグインは、1.6.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-09 03:00:15.168171 |
| CVE-2024-13750 | Multilevel Referral Affiliate Plugin for WooCommerce plugin for WordPress は、2.27 までのすべてのバージョンにおいて、'orderby' パラメータ経由の SQL インジェクションの脆弱性があります。 これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.167535 |
| CVE-2024-13746 | WordPress 用 Booking Calendar and Notification プラグインは、4.0.3 までのすべてのバージョンにおいて、 wpcb_all_booking()、wpcb_update_booking_post()、wpcb_delete_posts() 関数の機能チェックが欠落しているため、不正アクセス、改ざん、データ消失の脆弱性があります。これにより、認証されていない攻撃者がデータを抽出したり、予約を作成・更新したり、任意の投稿を削除したりすることが可能になります。 | 6.5 |
CVE 2025-06-09 03:00:15.166934 |
| CVE-2024-13559 | WordPress 用 TemplatesNext ToolKit プラグインは、3.2.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'tx_woo_wishlist_table' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-09 03:00:15.165078 |
| CVE-2024-13518 | WordPress 用 Simple:Press Forum プラグインは、6.10.11 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'sp_save_edited_post' 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる、偽造されたリクエストを使用してフォーラムの投稿を変更することが可能になります。 | 4.3 |
CVE 2025-06-09 03:00:15.164040 |
| CVE-2025-1780 | BuddyPress WooCommerce My Account Integration.Create WooCommerce Member Pages plugin for WordPressは、3.4.25までのすべてのバージョンにおいて、wc4bp_delete_page()関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインのページ設定を更新することが可能です。 | 4.3 |
CVE 2025-06-09 03:00:15.162946 |
| CVE-2024-13358 | BuddyPress WooCommerce My Account Integration.Create WooCommerce Member Pages plugin for WordPressは、3.4.24までのすべてのバージョンにおいて、wc4bp_delete_page()関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインのページ設定を更新することが可能になります。 | 4.3 |
CVE 2025-06-09 03:00:15.158955 |
| CVE-2025-1319 | Site Mailer - SMTP Replacement, Email API Deliverability & Email Log プラグイン for WordPress は、1.2.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-08 09:00:08.012646 |
| CVE-2024-10860 | WordPress 用プラグイン NextMove Lite - Thank You Page for WooCommerce には、2.19.0 までのすべてのバージョンにおいて、_submit_uninstall_reason_action() 関数の機能チェックが欠落しているため、データを不正に送信される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サイトの代わりに無効化理由を送信することが可能になります。 | 4.3 |
CVE 2025-06-08 09:00:08.011909 |
| CVE-2025-1662 | WordPress 用 URL Media Uploader プラグインは、1.0.0 までのすべてのバージョンにおいて、'url_media_uploader_url_upload' アクションを経由した Server-Side Request Forgery の脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 6.4 |
CVE 2025-06-08 09:00:08.010907 |
| CVE-2025-1560 | WordPress 用 WOW Entrance Effects (WEE!) プラグインは、0.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'wee' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-08 09:00:08.008731 |
| CVE-2024-9193 | WHMpress - WHMCS WordPress Integration Plugin plugin for WordPress は、6.3-revision-0 までの全てのバージョンにおいて、 whmpress_domain_search_ajax_extended_results() 関数を経由したローカルファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能となり、 そのファイル内の任意の PHP コードを実行できるようになります。これは、アクセス制御を回避したり、機密データを取得したり、 画像やその他の "安全な" ファイル形式をアップロードしてインクルードする場合に コード実行を行うために使用することができます。これにより、認証されていない攻撃者がWordPressサイト上の任意のオプションを更新することが可能になります。/admin/services.phpファイルを利用することで、登録のデフォルトロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 9.8 |
CVE 2025-06-08 09:00:08.006916 |
| CVE-2024-9019 | SecuPress Free - WordPress Security plugin for WordPress は、2.2.5.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの secupress_check_ban_ips_form ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-08 09:00:08.006184 |
| CVE-2024-8425 | WordPress 用 WooCommerce Ultimate Gift Card プラグインは、2.6.0 までのすべてのバージョンにおいて、'mwb_wgm_preview_mail' および 'mwb_wgm_woocommerce_add_cart_item_data' 関数のファイルタイプ検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-06-08 09:00:08.005534 |
| CVE-2024-8420 | WordPress 用 DHVC Form プラグインは、2.4.7 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、このプラグインがユーザ登録時に 'role' フィールドを与えることを許可しているためです。これにより、認証されていない攻撃者がサイトの管理者として登録できるようになります。 | 9.8 |
CVE 2025-06-08 09:00:08.004816 |
| CVE-2024-13851 | WordPress 用 Modal Portfolio プラグインは、1.7.4.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-06-08 09:00:08.004011 |
| CVE-2024-13832 | WordPress 用 Ultra Addons Lite for Elementor プラグインは、1.1.8 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分なため、'ut_elementor' ショートコード経由で情報漏えいの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、パスワードで保護された投稿、非公開の投稿、またはアクセスすべきでない下書きの投稿からデータを抽出することが可能になります。 | 4.3 |
CVE 2025-06-08 09:00:08.003256 |
| CVE-2024-13831 | WordPress 用 Tabs for WooCommerce プラグインは、1.0.0 までのすべてのバージョンにおいて、 'product_has_custom_tabs' 関数内の信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、ショップマネージャレベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。 | 7.2 |
CVE 2025-06-08 09:00:08.002454 |
| CVE-2024-13716 | WordPress 用 Forex Calculators プラグインは、1.3.5 までのすべてのバージョンにおいて ajax_settings_callback() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-06-08 09:00:08.001686 |
| CVE-2024-13638 | WordPress 用 WooCommerce プラグイン Order Attachments for WooCommerce には、2.5.1 までのすべてのバージョンにおいて、'uploads' ディレクトリを経由した Sensitive Information Exposure の脆弱性があります。これにより、認証されていない攻撃者が、注文に追加された添付ファイルを含む /wp-content/uploads ディレクトリに安全に保存されていない機密データを抽出することが可能になります。 | 5.9 |
CVE 2025-06-08 09:00:08.000853 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.