WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8433 | The Easy Mega Menu Plugin for WordPress - ThemeHunk plugin for WordPress は、1.1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'themehunk_megamenu_bg_image' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、購読者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、1.1.0 で追加された認証保護機能により、部分的に修正されています。 | 6.4 |
CVE 2025-01-16 09:00:15.478873 |
| CVE-2024-8943 | WordPress 用 LatePoint プラグインは、5.0.12 までのバージョンにおいて、認証バイパスの脆弱性があります。これは、顧客の予約ステップで提供されるユーザーの検証が不十分なためです。このため、認証されていない攻撃者は、ユーザーIDにアクセスできる場合、管理者のようなサイト上の既存のユーザーとしてログインすることが可能です。WordPressユーザーとしてログインできるのは、"Use WordPress users as customers "設定が有効になっている場合のみで、デフォルトでは無効になっていることに注意してください。この脆弱性はバージョン 5.0.12 で部分的に修正され、バージョン 5.0.13 で完全に修正されました。 | 9.8 |
CVE 2025-01-16 09:00:15.478127 |
| CVE-2024-8911 | WordPress 用 LatePoint プラグインは、5.0.11 までのバージョンにおいて、 SQL インジェクションによる任意のユーザパスワード変更の脆弱性があります。これは、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないことが原因です。このため、認証されていない攻撃者がユーザーのパスワードを変更し、管理者アカウントを乗っ取る可能性があります。WordPressユーザーのパスワードを変更できるのは、「WordPressユーザーを顧客として使用する」設定が有効になっている場合のみで、デフォルトでは無効になっていることに注意してください。この設定が有効でない場合、プラグインの顧客のパスワードのみが変更可能で、それは別のデータベーステーブルで保存・管理されます。 | 9.8 |
CVE 2025-01-16 09:00:15.477269 |
| CVE-2022-4534 | WordPress 用の Limit Login Attempts (Spam Protection) プラグインは、5.3 までのバージョンにおいて IP Address Spoofing の脆弱性があります。これは、リクエストのロギングとログイン制限のために IP アドレス情報を取得する場所の制限が不十分なためです。攻撃者は、X-Forwarded-For ヘッダーにログに記録される別の IP アドレスを入力することができ、IP アドレスや国によるログインをブロックする設定を回避するために使用することができます。 | 5.3 |
CVE 2025-01-16 09:00:15.474623 |
| CVE-2024-8964 | WordPress 用 Image Optimizer, Resizer and CDN - Sirv プラグインは、7.2.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-16 03:00:07.008715 |
| CVE-2024-9292 | WordPress 用 Bridge Core プラグインは、3.2.0 までのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが 不十分なため、'formforall' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-16 03:00:07.007543 |
| CVE-2024-9021 | 4.23.1以前のRelevanssi WordPressプラグインをテストする過程で、悪意のあるスクリプトを埋め込むことで、Contributor+に代わってStored XSSを実装できる脆弱性が見つかりました。 | 5.4 |
CVE 2025-01-16 03:00:07.006709 |
| CVE-2024-8983 | 2.2.3以前のCustom Twitter Feeds WordPressプラグインは、その設定の一部をフィルタリングしておらず、高権限ユーザーがスクリプトを注入できるようになっています。 | 4.8 |
CVE 2025-01-16 03:00:07.003942 |
| CVE-2024-47327 | Eyal Fitoussi GEO my WordPressにおけるWebページ生成時の入力の不適切な中和（XSSまたは「クロスサイトスクリプティング」）の脆弱性により、Reflected XSSが可能です。この問題は、n/aから4.5.0.3までのGEO my WordPressに影響します。 | 7.1 |
CVE 2025-01-14 09:00:30.200173 |
| CVE-2024-47368 | Leap13 Premium Blocks - Gutenberg Blocks for WordPress に、Web ページ生成時の入力の不適切な中和（XSS または 'クロスサイトスクリプティング' ）の脆弱性があり、Stored XSS が可能です。この問題は、Premium Blocks - Gutenberg Blocks for WordPress: n/a から 2.1.33 に影響します。 | 6.5 |
CVE 2025-01-14 09:00:30.197774 |
| CVE-2024-47386 | この問題は、The Ultimate WordPress Toolkit - WP Extended の n/a から 3.0.8 までのバージョンに影響します。 | 7.1 |
CVE 2025-01-13 09:00:07.601653 |
| CVE-2024-47647 | この問題は、HelpieWP Accordion & FAQ - Helpie WordPress Accordion FAQ Plugin: n/a から 1.27 までの Accordion & FAQ - Helpie WordPress Accordion FAQ Plugin に存在します。 | 5.9 |
CVE 2025-01-13 09:00:07.600961 |
| CVE-2024-47638 | vCita Online Booking & Scheduling Calendar for WordPress by vcita には、ウェブページ生成時の入力の不適切な中和 (XSS または 'クロスサイトスクリプティング') の脆弱性があり、Reflected XSS が可能です。この問題は、vcita Online Booking & Scheduling Calendar for WordPress by vcita: n/a から 4.4.6 に影響します。 | 7.1 |
CVE 2025-01-13 09:00:07.600285 |
| CVE-2024-44018 | Istmo プラグイン Instant Chat Floating Button for WordPress Websites に、制限付きディレクトリへのパス名の不適切な制限 ('Path Traversal') の脆弱性があり、PHP ローカルファイルインクルードが可能です。この問題は、Instant Chat Floating Button for WordPress Websites の n/a から 1.0.5 に影響します。 | 7.5 |
CVE 2025-01-13 09:00:07.599529 |
| CVE-2024-9314 | WordPress 用プラグイン Rank Math SEO - AI SEO Tools to Dominate SEO Rankings には、1.0.228 までのすべてのバージョンにおいて、信頼できない入力 'set_redirections' 関数のデシリアライズを介した PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。ターゲットシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、 機密データを取得したり、コードを実行したりできる可能性があります。 | 7.2 |
CVE 2025-01-13 09:00:07.598805 |
| CVE-2024-9161 | WordPress 用のプラグイン Rank Math SEO - AI SEO Tools to Dominate SEO Rankings には、1.0.228 までのすべてのバージョンにおいて、'update_metadata' 関数の機能チェックが欠落しているため、不正な改変やデータ損失の脆弱性があります。これにより、認証されていない攻撃者は、'rank_math'で始まる新しいメタデータを挿入したり、既存のメタデータを更新したり、任意の既存のユーザーメタデータやタームメタデータを削除したりすることが可能になります。既存のユーザメタデータを削除すると、管理者を含む登録ユーザの管理者ダッシュボードへのアクセスが失われる可能性があります。 | 6.5 |
CVE 2025-01-13 09:00:07.598038 |
| CVE-2024-9417 | WordPress 用 Hash Form - Drag & Drop Form Builder プラグインは、1.1.9 までのすべてのバージョンにおいて、'handleUpload' 関数のファイルタイプ検証の設定ミスにより、ファイルのアップロードが制限される脆弱性があります。これにより、認証されていない攻撃者が、クロスサイトスクリプティングを含む可能性のあるファイルを含む、影響を受けるサイトのサーバ上の 'allowedExtensions' および 'unallowed_extensions' 配列の両方から除外されたファイルをアップロードすることが可能になります。 | 6.1 |
CVE 2025-01-13 09:00:07.595613 |
| CVE-2024-8486 | WordPress 用テーマプラグイン Shortcodes and extra features for Phlox には、入力のサニタイズと出力のエスケープが不十分なため、2.16.3 までのすべてのバージョンにおいて、Modern Heading および Icon Picker ウィジェットの 'url' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-13 03:00:13.772037 |
| CVE-2024-8743 | Bit File Manager - 100% Free & Open Source File Manager and Code Editor for WordPress plugin for WordPress には、6.5.7 までのすべてのバージョンにおいて、Limited JavaScript File Upload の脆弱性があります。これは、許可されたファイルタイプに関する適切なチェックの欠如によるものです。このため、サブスクライバレベル以上のアクセス権を持ち、管理者から権限を与えられた認証済みの攻撃者が .css および .js ファイルをアップロードすることが可能となり、蓄積型クロスサイトスクリプティングにつながる可能性があります。 | 6.8 |
CVE 2025-01-13 03:00:13.771290 |
| CVE-2024-9528 | Fluent Forms による WordPress 用 Contact Form Plugin for Quiz, Survey, Drag & Drop WP Form Builder プラグインは、5.1.19 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、フォームラベルフィールドを経由した Stored Cross-Site Scripting の脆弱性があります。このため、フォームの編集にアクセスできる認証済みの攻撃者 (デフォルトでは管理者) は、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 4.9 |
CVE 2025-01-13 03:00:13.768708 |
| CVE-2024-9455 | WordPress 用 WP Cleanup and Basic Functions プラグインは、2.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-12 23:00:04.638011 |
| CVE-2024-9385 | WordPress 用 Themify Builder プラグインは、7.6.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-12 23:00:04.635090 |
| CVE-2024-8499 | WordPress 用 WooCommerce プラグインの Checkout Field Editor (Checkout Manager) には、2.0.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'render_review_request_notice' 関数を介した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブ・スクリプトを注入して実行させることが可能です。 | 4.7 |
CVE 2025-01-12 09:00:15.231074 |
| CVE-2024-9271 | WordPress 用 Re:WP プラグインは、1.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-12 09:00:15.230261 |
| CVE-2024-9071 | Easy Demo Importer - A Modern One-Click Demo Import Solution plugin for WordPress は、1.1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-12 09:00:15.227610 |
| CVE-2024-9435 | WordPress用のShiftController Employee Shift Schedulingプラグインは、入力のサニタイズと出力のエスケープが不十分なため、4.9.66までのすべてのバージョンで、URLキーを介して反射クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-12 03:00:05.288905 |
| CVE-2024-9306 | WordPress 用 WP Booking Calendar プラグインは、10.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールと、unfiltered_html が無効になっているインストールにのみ影響します。さらに、サイト管理者は、プラグインの設定を管理するためのアクセス権を下層レベルのユーザに与えるオプションを持っており、これらのユーザにもこの脆弱性が及ぶ可能性があります。 | 4.4 |
CVE 2025-01-12 03:00:05.288116 |
| CVE-2024-9242 | WordPress 用の Memberful - Membership Plugin プラグインは、1.73.7 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'memberful_buy_subscription_link' および 'memberful_podcasts_link' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-12 03:00:05.287209 |
| CVE-2024-8804 | WordPress 用 Code Embed プラグインは、2.4 までのすべてのバージョンにおいて、プラグインのスクリプト埋め込み機能を介した Stored Cross-Site Scripting の脆弱性があります。このため、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-12 03:00:05.285857 |
| CVE-2024-9445 | WordPress 用 Display Medium Posts プラグインは、5.0.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの display_medium_posts ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-12 03:00:05.285044 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.