WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13412 | WordPress 用 CozyStay テーマには、1.7.0 までのすべてのバージョンにおいて ajax_handler 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が任意のアクションを実行することが可能になります。 | 7.5 |
CVE 2025-08-05 03:00:10.248568 |
| CVE-2024-13611 | Better Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBoss プラグイン for WordPress には、2.6.9 までのすべてのバージョンにおいて、'bp-better-messages' ディレクトリを経由した機密情報漏洩の脆弱性があります。これにより、認証されていない攻撃者は、/wp-content/uploads/bp-better-messages ディレクトリに安全に保存されていない機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-08-04 23:00:09.916742 |
| CVE-2025-31015 | Adrian Tobey WordPress SMTP サービスにおける PHP プログラムの Include/Require ステートメントにおけるファイル名の不適切な制御 ('PHP Remote File Inclusion') の脆弱性、メール配信で解決！- MailHawk は、PHP ローカルファイルインクルードを許可します。この問題は、WordPress SMTP サービス、メール配信に影響します！- MailHawk: n/a から 1.3.1 まで。 | 7.5 |
CVE 2025-08-04 09:00:23.685023 |
| CVE-2025-2101 | WordPress 用 Edumall テーマは、4.2.4 までの全てのバージョンにおいて、'edumall_lazy_load_template' AJAX アクションの 'template' パラメータを経由したローカルファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意の PHP ファイルをインクルードして実行することが可能となり、 そのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、 PHP ファイルがアップロードされインクルードされた場合にコードを実行したりするために 使用可能です。 | 8.1 |
CVE 2025-08-04 09:00:13.390591 |
| CVE-2024-13812 | WordPress 用 Anps Theme プラグインは、1.1.1 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-08-04 09:00:13.387501 |
| CVE-2025-3915 | WordPress 用 Aeropage Sync for Airtable プラグインは、3.2.0 までのすべてのバージョンにおいて、'aeropageDeletePost' 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の投稿を削除することが可能になります。 | 4.3 |
CVE 2025-08-04 03:00:05.313753 |
| CVE-2025-3914 | WordPress 用 Aeropage Sync for Airtable プラグインは、3.2.0 までのすべてのバージョンにおいて、'aeropage_media_downloader' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-08-04 03:00:05.312313 |
| CVE-2025-3906 | Integração entre Eduzz e Woocommerce plugin for WordPress は、1.7.5 までのすべてのバージョンにおいて、'wep_opcoes' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの登録フロー内のデフォルトの登録ロールを Administrator に編集することが可能となり、任意のユーザが Administrator アカウントを作成できるようになります。 | 8.8 |
CVE 2025-08-04 03:00:05.310636 |
| CVE-2025-3491 | WordPress 用 Add custom page template プラグインは、2.0.1 までのすべてのバージョンにおいて、'acpt_validate_setting' 関数を経由したリモートコード実行につながる PHP コードインジェクションの脆弱性があります。これは、'template_name' パラメータのサニタイズが不十分なためです。このため、管理者レベル以上のアクセス権を持つ、 認証された攻撃者がサーバ上でコードを実行することが可能です。 | 7.2 |
CVE 2025-08-04 03:00:05.309177 |
| CVE-2025-2907 | 12.3.1 以前の Order Delivery Date WordPress プラグインには、設定をインポートする際の認証と CSRF チェックがありません。さらに、12.3.1 より前の Order Delivery Date WordPress プラグインに関連するオプションのみを更新するための適切なチェックも欠けています。このため、攻撃者は default_user_role を administrator と users_can_register に変更することができ、サイトの管理者として登録してサイトを完全に乗っ取ることができる。 | 9.8 |
CVE 2025-08-04 03:00:05.306671 |
| CVE-2025-2105 | WordPress 用 Jupiter X Core プラグインは、4.8.11 までのすべてのバージョンにおいて、'raven_download_file' 関数の 'file' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、攻撃者は PHAR ファイルを通して PHP Object をインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。この脆弱性は、ファイルダウンロードアクションを持つフォームがサイト上に存在し、ファイルをアップロードする機能も存在する場合に、認証されていない攻撃者によって悪用される可能性があります。そうでなければ、コントリビュータ・レベル以上のユーザが、この脆弱性を悪用するために必要なフォームを作成することができるため、この脆弱性は悪用可能であると考えられます。 | 8.1 |
CVE 2025-08-04 03:00:05.305477 |
| CVE-2025-1458 | Element Pack Addons for Elementor - Free Templates and Widgets for Your WordPress Websites plugin for WordPress には、入力のサニタイズと出力のエスケープが不十分なため、5.10.29 までのすべてのバージョンにおいて、Dual Button、Creative Button、Image Stack などのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-04 03:00:05.304061 |
| CVE-2024-13808 | WordPress 用 Xpro Elementor Addons - Pro プラグインには、1.4.9 までのすべてのバージョンにおいて、カスタム PHP ウィジェットを介したリモート・コード実行の脆弱性があります。これは、ウィジェットにアクセスできるユーザーを決定する際に、クライアント側でしか制御できないことが原因です。このため、コントリビュータレベル以上のアクセス権を持つ、認証された攻撃者がサーバ上でコードを実行することが可能です。 | 8.8 |
CVE 2025-08-04 03:00:05.301861 |
| CVE-2025-1323 | WP-Recall - Registration, Profile, Commerce & More plugin for WordPress は、16.26.10 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'databeat' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-08-03 09:00:22.974542 |
| CVE-2025-3912 | WS Form LITE - Drag & Drop Contact Form Builder for WordPress プラグインは、1.10.35 までのすべてのバージョンにおいて、'get_config' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、認証されていない攻撃者が、統合サービスの API キーを含むプラグインの設定値を読み取ることが可能です。 | 5.3 |
CVE 2025-08-03 09:00:09.720875 |
| CVE-2025-2470 | Service Finder - Directory and Job Board WordPress Theme で使用されている WordPress 用の Service Finder Bookings プラグインには、5.1 までのすべてのバージョンで特権昇格の脆弱性があります。これは、'nsl_registration_store_extra_input' 関数におけるユーザーロールの制限の欠如によるものです。このため、認証されていない攻撃者がソーシャルログイン経由で登録する際に、管理者を含む任意のロールでサイトにアカウントを登録することが可能です。この脆弱性を悪用するには、Nextend Social Login プラグインをインストールし、設定する必要があります。 | 9.8 |
CVE 2025-08-03 09:00:09.719662 |
| CVE-2024-11917 | WordPress 用の JobSearch WP Job Board プラグインは、2.9.2 までのすべてのバージョンにおいて認証バイパスの脆弱性があります。これは 'jobsearch_xing_response_data_callback', 'set_access_tokes', 'google_callback' 関数の不適切な設定によるものです。これにより、認証されていない攻撃者が、最初に接続されたXingユーザーや、Xing IDがわかっている場合に接続されたXingユーザーとしてログインすることが可能になります。また、認証されていない攻撃者が、30日以内にログアウトせずにログインしたことがある場合、最初に接続されたGoogleユーザーとしてログインすることも可能です。この脆弱性はバージョン2.8.4で部分的に修正された。 | 8.1 |
CVE 2025-08-03 09:00:09.718699 |
| CVE-2025-3870 | WordPress 用 1 Decembrie 1918 プラグインは、1.dec.2012 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、1-decembrie-1918/1-decembrie-1918.php ページにおける nonce バリデーションの欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、付与された偽造リクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-08-03 09:00:09.716843 |
| CVE-2025-1279 | WordPress 用 BM Content Builder プラグインは、3.16.2.1 までのすべてのバージョンにおいて、 ux_cb_tools_import_item_ajax AJAX アクションの機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-08-03 09:00:09.713841 |
| CVE-2024-13604 | WordPress 用プラグイン KB Support - Customer Support Ticket & Helpdesk Plugin, Knowledge Base Plugin には、1.7.4 までのすべてのバージョンにおいて、'kbs' ディレクトリを経由した機密情報漏洩の脆弱性があります。これにより、未認証の攻撃者が /wp-content/uploads/kbs ディレクトリに安全に保存されていない機密データを抽出することが可能となり、サポートチケットに含まれる添付ファイルが含まれる可能性があります。この脆弱性はバージョン 1.7.3.2 で部分的に修正されました。 | 7.5 |
CVE 2025-08-03 03:00:06.958842 |
| CVE-2025-3868 | WordPress 用 Custom Admin-Bar Favorites プラグインは、0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'menuObject' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-08-03 03:00:04.455498 |
| CVE-2025-3867 | WordPress 用 Ajax Comment Form CST プラグインは、1.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは 'acform_cst_settings' ページでの nonce バリデーションが欠けているか、正しくないことに起因します。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-08-03 03:00:04.453366 |
| CVE-2025-3866 | WordPress 用 Add Google +1 (Plus one) social share Button プラグインは、1.0.0 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。 これは、google-plus-one-share-button ページにおける nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるWebスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-08-03 03:00:04.452219 |
| CVE-2025-3743 | WordPress用Upsell Funnel Builder for WooCommerceプラグインは、3.0.0までの全てのバージョンにおいて、注文操作の脆弱性があります。これは、プラグインが'add_offer_in_cart'関数を通して、処理前に追加の製品IDと割引フィールドを操作することを許可していることが原因です。これにより、認証されていない攻撃者は、注文をカートに追加する際に、任意の注文に関連付けられた商品を任意に更新し、任意の注文に関連付けられた商品に適用される割引を任意に更新することが可能になります。 | 5.3 |
CVE 2025-08-03 03:00:04.450864 |
| CVE-2025-2238 | WordPress 用テーマ Vikinger には、1.9.30 までのすべてのバージョンにおいて特権の脆弱性があります。これは、'vikinger_user_meta_update_ajax' 関数における user_meta の制限が不十分なためです。これにより、Subscriberレベル以上のアクセス権を持つ、 認証された攻撃者が、Administratorレベルまで特権を昇格させることが 可能になります。 | 8.8 |
CVE 2025-08-03 03:00:04.449917 |
| CVE-2025-3923 | WordPress 用プラグイン Prevent Direct Access - Protect WordPress Files には、生成されるファイル名のランダム性が不十分なため、2.8.8 までのすべてのバージョンにおいて、「generate_unique_string」を経由した機密情報漏洩の脆弱性があります。このため、認証されていない攻撃者がファイル名を特定できれば、プラグインで保護されたファイルを含む機密データを抜き取ることが可能です。 | 5.3 |
CVE 2025-08-03 03:00:04.448150 |
| CVE-2025-3861 | Prevent Direct Access - Protect WordPress Files plugin for WordPress は、バージョン 2.8.6 から 2.8.8.2 の 'pda_lite_custom_permission_check' 関数の設定ミスによるケイパビリティチェックにより、不正アクセスやデータの変更に対して脆弱です。これにより、コントリビューターレベル以上のアクセス権を持つ、認証された攻撃者が、メディアにアクセスし、保護ステータスを変更することが可能になります。 | 5.4 |
CVE 2025-08-03 03:00:04.447318 |
| CVE-2025-2580 | WordPress 用 Contact Form by Bit Form プラグインは、2.18.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored クロスサイトスクリプティングの脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 4.9 |
CVE 2025-08-03 03:00:04.446063 |
| CVE-2025-0671 | 5.7.50より前のIcegram Express WordPressプラグインでは、テンプレート設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 6.1 |
CVE 2025-08-03 03:00:04.445124 |
| CVE-2025-3775 | WordPress用プラグイン ShopLentor - WooCommerce Builder for Elementor & Gutenberg +20 Modules - All in One Solution (旧WooLentor) には、3.1.2までのすべてのバージョンにおいて、woolentor_template_proxy関数を経由したServer-Side Request Forgeryの脆弱性があります。これにより、認証されていない攻撃者がウェブアプリケーションから任意の場所にウェブリクエストを行うことが可能になり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 6.5 |
CVE 2025-08-03 03:00:04.444083 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.