WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-10709 | 1.2.5までのYaDisk Files WordPressプラグインは、ショートコードを埋め込むページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしません。 | 6.8 |
CVE 2025-03-05 03:00:06.783492 |
| CVE-2024-11231 | 우커머스 네이버페이 plugin for WordPress は、3.3.7 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの mnp_purchase ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 09:00:12.018202 |
| CVE-2024-11229 | これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 09:00:12.017642 |
| CVE-2024-11228 | 워드프레스 결제 심플러 페이 - 우커머스 결제 플러그인 plugin for WordPress には、5.1.4 までのすべてのバージョンにおいて、プラグインの pafw_instant_payment ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。1.4 を含むすべてのバージョンにおいて、プラグインの pafw_instant_payment ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 09:00:12.017047 |
| CVE-2024-11227 | WordPress 用 Memberlite Shortcodes プラグインは、1.3.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの memberlite_accordion ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 09:00:12.015819 |
| CVE-2024-11199 | WordPress 用 Rescue Shortcodes プラグインは、2.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの rescue_progressbar ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 09:00:12.015023 |
| CVE-2024-10519 | WooCommerce 用 Wishlist：WordPress 用 Wishlist for WooCommerce: Multi Wishlists Per Customer PRO プラグインは、バージョン 3.0.8 から 3.1.2 において、入力のサニタイズと出力のエスケープが不十分なため、'wtab' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。注意: この脆弱性の影響を受けるのは、PHP のバージョンが 7.4 未満の WordPress のみです。 | 6.1 |
CVE 2025-03-03 09:00:12.012430 |
| CVE-2024-9942 | WPGYM - Wordpress Gym Management System plugin for WordPress は、67.1.0 までのすべてのバージョンにおいて、 MJ_gmgt_user_avatar_image_upload() 関数にファイルタイプ検証の欠落があるため、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-03-03 03:00:04.140489 |
| CVE-2024-9941 | WPGYM - Wordpress Gym Management System プラグインは、67.1.0 までのすべてのバージョンにおいて、 MJ_gmgt_add_staff_member() 関数の機能チェックが欠落しているため、特権昇格の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、管理者ロールで新しいユーザアカウントを作成することが可能になります。 | 8.8 |
CVE 2025-03-03 03:00:04.139279 |
| CVE-2024-9660 | WordPress 用 School Management System for Wordpress プラグインは、91.5.0 までのすべてのバージョンにおいて、 mj_smgt_load_documets_new() および mj_smgt_load_documets() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証された攻撃者（Studentレベル以上のアクセス権を持つ者）が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-03-03 03:00:04.138581 |
| CVE-2024-9659 | WordPress 用 School Management System for Wordpress プラグインは、91.5.0 までのすべてのバージョンにおいて、 mj_smgt_user_avatar_image_upload() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-03-03 03:00:04.137857 |
| CVE-2024-9511 | FluentSMTP - WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider plugin for WordPress には、2.2.82 までのすべてのバージョンにおいて、'formatResult' 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。ターゲットシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、 機密データを取得したり、コードを実行したりできる可能性があります。この脆弱性はバージョン 2.2.82 で部分的に修正されました。 | 9.8 |
CVE 2025-03-03 03:00:04.136714 |
| CVE-2024-10803 | WordPress 用 MP3 Sticky Player プラグインは、8.0 までのすべてのバージョンにおいて、 content/downloader.php ファイルを経由した Directory Traversal の脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。ベンダは、パッチを当てたバージョンを影響を受けたバージョンと同じバージョンとしてリリースしていることに注意してください。 | 7.5 |
CVE 2025-03-03 03:00:04.135928 |
| CVE-2024-9635 | WordPress の WooCommerce プラグイン「Checkout with Cash App on WooCommerce」には、6.0.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、いくつかのファイルの「_wp_http_referer」パラメータを経由したリフレクト・クロスサイト・スクリプティングの脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.134828 |
| CVE-2024-11446 | Chessgame Shizzle プラグインは、1.3.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'cs_nonce' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.133633 |
| CVE-2024-11330 | WordPress 用 Custom CSS, JS & PHP プラグインは、2.3.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.133042 |
| CVE-2024-11265 | WordPress 用プラグイン Increase Maximum Upload File Size | Increase Execution Time には、1.1.3 までのすべてのバージョンにおいて、フルパス情報漏洩の脆弱性があります。これは、画像アップロードのエラーメッセージにフルパス情報が含まれているためです。これにより、作者レベル以上の権限を持つ認証済みの攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 4.3 |
CVE 2025-03-03 03:00:04.132388 |
| CVE-2024-11188 | WordPress 用 Formidable Forms - Contact Form Plugin, Survey, Quiz, Payment, Calculator Form & Custom Form Builder プラグインには、入力のサニタイズと出力のエスケープが不十分なため、6.16.1.2 までのすべてのバージョンにおいて、カスタム HTML フォームパラメータを経由した POST ベースのリフレクト型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が、ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.131719 |
| CVE-2024-11426 | AutoListicle：WordPress用のプラグイン「AutoListicle: Automatically Update Numbered List Articles」は、1.2.3までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分であるため、プラグインの「auto-list-number」ショートコードを経由した「Stored Cross-Site Scripting」の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 03:00:04.131087 |
| CVE-2024-11408 | WordPress 用 Slotti Ajanvaraus プラグインは、1.3.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'slotti' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 03:00:04.129885 |
| CVE-2024-11387 | WordPress 用 Easy Liveblogs プラグインは、2.3.5 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'elb_liveblog' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 03:00:04.128842 |
| CVE-2024-11361 | PDF Invoices & Packing Slips Generator for WooCommerce plugin for WordPress は、2.2.1 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.127403 |
| CVE-2024-11332 | ドラッグ＆ドロップで HIPAA フォームを作成できる HIPAA Compliant Forms with Drag'n'Drop HIPAA Form Builder.Sign HIPAA documents plugin for WordPress は、1.3.4 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'hipaatizer' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-03 03:00:04.126436 |
| CVE-2024-10880 | JobBoardWP - Job Board Listings and Submissions plugin for WordPress は、1.3.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.125450 |
| CVE-2024-10873 | LA-Studio Element Kit for Elementor プラグインは、1.4.2 までのすべてのバージョンにおいて、_load_template 関数を経由したローカルファイルインクルード（Local File Inclusion）の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これは、アクセス制御を回避したり、機密データを取得したり、画像やその他の「安全な」ファイルタイプをアップロードしてインクルードできる場合にコードを実行したりするために使用することができます。 | 8.8 |
CVE 2025-03-03 03:00:04.124854 |
| CVE-2024-10606 | WP Travel Engine - Tour Booking Plugin - Tour Operator Software plugin for WordPress は、6.2.1 までのすべてのバージョンにおいて、wpte_onboard_save_function_callback() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、収益損失やページ更新などの影響を及ぼす可能性のあるいくつかの設定を変更することが可能になります。 | 4.3 |
CVE 2025-03-03 03:00:04.124260 |
| CVE-2024-9223 | WordPress 用 WPDash Notes プラグインは、1.3.5 までのすべてのバージョンにおいて、'wp_ajax_post_it_list_comment' 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、非公開の投稿やパスワードで保護された投稿、保留中の投稿や下書き投稿（以前に公開されていた場合）を含む、あらゆる投稿のコメントを閲覧することが可能です。この脆弱性はバージョン1.3.5で部分的に修正されました。 | 4.3 |
CVE 2025-03-03 03:00:04.123609 |
| CVE-2024-11463 | DeBounce Email Validatorプラグインは、5.6.5までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'from', 'to', 'key'パラメータを経由したReflected Cross-Site Scriptingの脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.122689 |
| CVE-2024-11415 | WordPress 用 WP-Orphanage Extended プラグインには、1.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wporphanageex_menu_settings() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができる偽造リクエストにより、すべての orphan アカウントの特権を昇格させることが可能です。 | 8.8 |
CVE 2025-03-03 03:00:04.121587 |
| CVE-2024-11362 | WooCommerce 用の Payments プラグインと Checkout プラグイン：WordPress 用の Stripe、PayPal、Square、Authorize.net プラグインは、1.112.0 までのすべてのバージョンにおいて、URL で適切なエスケープを行わずに add_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-03 03:00:04.120679 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.