WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-4775 | WordPress Infinite Scroll - Ajax Load More プラグインは、7.4.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、data-button-label HTML 属性を介した Stored Cross-Site Scripting の脆弱性があります。このため、コントリビューター・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-24 23:00:11.849094 |
| CVE-2025-5337 | WordPress 用 MetaSlider プラグインの Slider、Gallery、Carousel には、入力のサニタイズと出力のエスケープが不十分なため、3.98.0 までのすべてのバージョンにおいて、'aria-label' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.330309 |
| CVE-2025-5238 | WordPress 用 YITH WooCommerce Wishlist プラグインは、4.5.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.329625 |
| CVE-2025-4667 | WordPress 用の Appointment Booking Calendar - Simply Schedule Appointments 予約プラグインは、1.6.8.30 までの全てのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの ssa_admin_upcoming_appointments, ssa_admin_upcoming_appointments, ssa_past_appointments ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.328509 |
| CVE-2025-6070 | WordPress 用 Restrict File Access プラグインは、1.1.2 までのすべてのバージョンにおいて、 output() 関数を経由した Directory Traversal の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報を含む可能性があります。 | 6.5 |
CVE 2025-09-22 09:00:08.327064 |
| CVE-2025-6065 | WordPress 用の Image Resizer On The Fly プラグインは、1.1 までのすべてのバージョンにおいて、'delete' タスクにおけるファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。このため、認証されていない攻撃者がサーバー上の任意のファイルを削除することが可能で、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 9.1 |
CVE 2025-09-22 09:00:08.326148 |
| CVE-2025-6064 | WordPress 用 WP URL Shortener プラグインは、1.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'url_shortener_settings' ページでの nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.325155 |
| CVE-2025-6063 | WordPress 用 XiSearch バープラグインには、2.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'xisearch-key-config' ページの nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して、悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.324110 |
| CVE-2025-6062 | WordPress 用 Yougler Blogger Profile Page プラグインは、v1.01 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'yougler-plugin.php'ページのnonceバリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを使用してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-09-22 09:00:08.323014 |
| CVE-2025-6061 | WordPress 用 kk Youtube Video プラグインには、0.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'kkytv' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.321948 |
| CVE-2025-6055 | WordPress 用 Zen Sticky Social プラグインには、0.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'zen-social-sticky/zen-sticky-social.php' ページにおける nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.320680 |
| CVE-2025-6040 | WordPress 用 Easy Flashcards プラグインは、0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは 'ef_settings_submenu' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.319919 |
| CVE-2025-5589 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.3 までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'status-classic-offline-text' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.319181 |
| CVE-2025-5336 | WordPress 用 Click to Chat プラグインは、4.22 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'data-no-number' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.317949 |
| CVE-2025-4592 | AI Image Lab - Free AI Image Generator plugin for WordPress は、1.0.6 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、'wpz-ai-images' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを使用してプラグインの API キーを更新することが可能になります。 | 4.3 |
CVE 2025-09-22 09:00:08.316505 |
| CVE-2025-4216 | WordPress 用 DIOT SCADA with MQTT プラグインは、1.0.5.1 までのすべてのバージョンにおいて、入力のサニタイズとユーザー提供属性の出力エスケープが不十分なため、プラグインの 'diot' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.315424 |
| CVE-2025-4200 | Zagg - Electronics & Accessories WooCommerce WordPress Theme は、1.4.1 までのすべてのバージョンにおいて、少なくとも 3 つの AJAX アクションを介して呼び出される load_view() 関数を経由して、ローカルファイルインクルード（Local File Inclusion）の脆弱性があります：load_more_post'、'load_shop'、'load_more_product'。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードする場合に コード実行を行うために使用することができます。 | 8.1 |
CVE 2025-09-22 09:00:08.313950 |
| CVE-2025-4187 | WordPress 用プラグイン UserPro - Community and User Profile WordPress Plugin には、5.1.10 までのすべてのバージョンにおいて、userpro_fbconnect() 関数を介したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能になり、機密情報が含まれる可能性があります。 | 5.9 |
CVE 2025-09-22 09:00:08.296936 |
| CVE-2025-49328 | Agile Logix Store Locator WordPress に SQL インジェクションの脆弱性が存在します。この問題は、Store Locator WordPress: n/a から 1.5.1 に影響します。 | 7.6 |
CVE 2025-09-22 03:00:08.705035 |
| CVE-2025-6059 | WordPress 用 Seraphinite Accelerator プラグインには、2.27.21 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'OnAdminApi_CacheOpBegin' 関数における nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して、キャッシュの削除を含むいくつかの管理アクションを実行することが可能になります。 | 4.3 |
CVE 2025-09-22 03:00:08.525397 |
| CVE-2025-6012 | WordPress 用 Auto Attachments プラグインは、1.8.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-09-21 03:00:09.079424 |
| CVE-2025-5923 | WordPress 用 Game Review Block プラグインは、4.8.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'className' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-21 03:00:09.078360 |
| CVE-2025-5815 | WordPress 用 Traffic Monitor プラグインは、3.2.2 までのすべてのバージョンにおいて、tfcm_maybe_set_bot_flags() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、認証されていない攻撃者がボットロギングを無効にすることが可能です。 | 5.3 |
CVE 2025-09-21 03:00:09.077726 |
| CVE-2025-5950 | WordPress 用 IndieBlocks プラグインは、0.13.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'kind' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-21 03:00:09.076530 |
| CVE-2025-5939 | WordPress 用 Telegram for WP プラグインは、1.6.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-09-21 03:00:09.075608 |
| CVE-2025-5938 | WordPress 用 Elementor プラグインの Digital Marketing and Agency Templates Addons には、1.1.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは import_templates() 関数の nonce 検証の欠落または不正確さに起因します。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる、偽造されたリクエストを経由してインポートをトリガーすることが可能です。 | 5.3 |
CVE 2025-09-21 03:00:09.074257 |
| CVE-2025-5930 | WordPress 用 WP2HTML プラグインには、1.0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、save() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを介してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-09-21 03:00:09.072604 |
| CVE-2025-5928 | WordPress 用 WP Sliding Login/Dashboard Panel プラグインは、2.1.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wp_sliding_panel_user_options() 関数の nonce 検証の欠落または不正確さに起因します。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる偽造リクエストを使用して、プラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-09-21 03:00:09.071593 |
| CVE-2025-5926 | WordPress 用 Link Shield プラグインには、0.5.4 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、link_shield_menu_options() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-21 03:00:09.070123 |
| CVE-2025-5841 | WordPress 用 ACF Onyx Poll プラグインは、1.1.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'class' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-21 03:00:09.069146 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.