WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2017-20207 | WordPress 用 Flickr Gallery プラグインは、1.5.2 までのバージョンにおいて、 `pager ` パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトを注入することが可能となります。攻撃者はこの脆弱性を WP_Theme() クラスで積極的に悪用し、 バックドアを作成していました。 | 9.8 |
CVE 2026-01-26 03:00:06.232465 |
| CVE-2017-20206 | WordPress 用 Appointments プラグインは、2.2.1 までのバージョンにおいて、 `wpmudev_appointments` クッキーからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションできてしまいます。攻撃者はこの脆弱性を WP_Theme() クラスで積極的に悪用し、バックドアを作成していました。 | 9.8 |
CVE 2026-01-26 03:00:06.228869 |
| CVE-2025-11895 | WordPress 用 Binary MLM Plan プラグインは、3.0 までのバージョンにおいて、安全でない直接オブジェクト参照の脆弱性があります。これは、bmp_user_payout_detail_of_current_user() 関数が、所有権を検証せずに id だけでペイアウトレコードを選択することに起因します。これにより、bmp_userロールを持つ認証済みの攻撃者（多くの場合、購読者）が、ショートコード出力にアクセスできるように細工されたpayout-idパラメータを持つ/bmp-account-detail/エンドポイントへの直接リクエストを介して、他のメンバーのペイアウト集計を表示することが可能になります。 | 4.3 |
CVE 2026-01-25 09:00:19.734634 |
| CVE-2025-10850 | WordPress 用 Felan Framework プラグインは、1.1.4 までのバージョンにおいて不適切な認証を受ける脆弱性があります。これは、「fb_ajax_login_or_register」関数と「google_ajax_login_or_register」関数でハードコードされたパスワードが原因です。これにより、認証されていない攻撃者は、フェイスブックやグーグル・ソーシャル・ログインで登録し、パスワードを変更していない場合、サイトの既存ユーザーとしてログインすることが可能になってしまう。 | 9.8 |
CVE 2026-01-24 03:00:04.532822 |
| CVE-2025-10849 | WordPress 用 Felan Framework プラグインは、1.1.4 までのバージョンにおいて、AJAX アクションを介して呼び出される 'process_plugin_actions' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が任意のプラグインを有効化または無効化することが可能になります。 | 5.3 |
CVE 2026-01-24 03:00:04.532157 |
| CVE-2025-10742 | WordPress 用 Truelysell Core プラグインは、1.8.6 までのバージョンにおいて、 ユーザーパスワードの任意変更の脆弱性があります。これは、このプラグインがオブジェクトへのユーザ制御アクセスを提供し、ユーザに認証をバイパスさせてシステムリソースにアクセスさせることに起因します。これにより、認証されていない攻撃者がユーザのパスワードを変更し、管理者アカウントを乗っ取る可能性があります。注意: これは、攻撃者がどのページに 'truelysell_edit_staff' ショートコードが含まれているかを知っている場合にのみ、未認証で悪用することができます。 | 9.8 |
CVE 2026-01-24 03:00:04.531437 |
| CVE-2025-10706 | WordPress 用テーマ Classified Pro は、1.0.14 までのすべてのバージョンにおいて、'cwp_addons_update_plugin_cb' 関数の機能チェックが欠落しているため、プラグインを不正にインストールされる脆弱性があります。これにより、サブスクライバ・レベル以上のアクセス権を持つ認証された攻撃者が、影響を受けるサイトのサーバに任意のプラグインをインストールすることが可能となり、リモートでコードを実行される可能性があります。注意: 脆弱性に必要な nonce は、CubeWP Framework プラグインにあります。 | 8.8 |
CVE 2026-01-24 03:00:04.530694 |
| CVE-2025-11814 | WordPress 用プラグイン Ultimate Addons for WPBakery には、3.21.1 (exclusive) までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-24 03:00:04.529825 |
| CVE-2025-10700 | WordPress 用プラグイン Ally - Web Accessibility & Usability には、3.8.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは enable_unfiltered_files_upload 関数における nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者は、フィルタリングされていないファイルアップロードを有効にし、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる付与された偽造リクエストを介してアップロードリストにsvgファイルを追加することが可能になります。 | 4.3 |
CVE 2026-01-24 03:00:04.527158 |
| CVE-2025-9967 | WordPress 用 Orion SMS OTP Verification プラグインは、1.1.7 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、パスワードを更新する前に、プラグインがユーザの身元を適切に検証しないことが原因です。このため、認証されていない攻撃者がユーザの電話番号を知っている場合、任意のユーザのパスワードをワンタイムパスワードに変更することが可能です。 | 9.8 |
CVE 2026-01-23 09:00:05.718579 |
| CVE-2025-11728 | WordPress用のOceanpayment CreditCard Gatewayプラグインは、6.0までのすべてのバージョンにおいて、'return_payment'関数と'notice_payment'関数の認証と機能チェックが欠落しているため、認証されていない不正なデータ変更の脆弱性があります。これにより、認証されていない攻撃者がWooCommerceの注文を「失敗」ステータスに更新したり、トランザクションIDを更新したりすることが可能になってしまいます。 | 5.3 |
CVE 2026-01-23 09:00:05.717998 |
| CVE-2025-11722 | WordPress 用の Woocommerce Category and Products Accordion Panel プラグインは、1.0 までのすべてのバージョンにおいて、'categoryaccordionpanel' ショートコード経由でのローカルファイル組み込みの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意の .php ファイルをインクルードして実行することが可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これは、.php ファイルがアップロードされ、インクルードされるような場合に、アクセス制御を回避したり、機密データを取得したり、コードを実行したりするために使用できます。 | 7.5 |
CVE 2026-01-23 09:00:05.717398 |
| CVE-2025-11701 | WordPress 用 Zip Attachments プラグインは、1.6 までのすべてのバージョンにおいて、za_create_zip_callback 関数におけるケイパビリティチェックの欠落および投稿ステータスの検証の欠落により、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者が、非公開の投稿やパスワードで保護された投稿から添付ファイルをダウンロードすることが可能になります。 | 5.3 |
CVE 2026-01-23 09:00:05.716401 |
| CVE-2025-11692 | WordPress 用 Zip Attachments プラグインは、1.6 までのすべてのバージョンにおいて、 download.php ファイルの権限チェックと機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。このため、認証されていない攻撃者が現在の wp_upload_dir ディレクトリから任意のファイルを削除することが可能です。 | 5.3 |
CVE 2026-01-23 09:00:05.715509 |
| CVE-2025-11365 | WordPress 用 WP Google Map Plugin プラグインは、1.0 までのすべてのバージョンにおいて、ユーザが提供するパラメー タのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'google_map' ショートコー ドの 'id' パラメータを経由したブラインド SQL インジェクションの脆弱性があります。 これにより、コントリビュータレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.714886 |
| CVE-2025-11196 | WordPress 用 External Login プラグインは、1.11.2 までのすべてのバージョンにおいて、'exlog_test_connection' AJAX アクションがケイパビリティチェックまたは nonce バリデーションを欠くため、機密情報漏洩の脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、設定された外部データベースに問い合わせを行い、診断テスト結果ビューを通じて切り詰められたユーザ名、メールアドレス、パスワードのハッシュを取得することが可能です。 | 4.3 |
CVE 2026-01-23 09:00:05.713933 |
| CVE-2025-11177 | WordPress 用の External Login プラグインは、1.11.2 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'log' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 このため、PostgreSQL または MSSQL データベースが外部認証データベースとして設定されている場合、認証されていない攻撃者が既存のクエリに追加の SQL クエリを追加し、データベースから機密情報を抽出するために使用することが可能です。 | 7.5 |
CVE 2026-01-23 09:00:05.713342 |
| CVE-2025-10754 | WordPress 用 DocoDoco Store Locator プラグインは、1.0.1 までのすべてのバージョンにおいて、ZIP アップロード機能におけるファイルタイプの検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、エディタレベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2026-01-23 09:00:05.712763 |
| CVE-2025-10743 | WordPress 用の Outdoor プラグインは、1.3.2 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、「edit」アクションを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2026-01-23 09:00:05.712163 |
| CVE-2025-10730 | WordPress 用 Wp tabber widget プラグインは、4.0 までのすべてのバージョンにおいて、ユーザが提供するパラメー タのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'wp-tabber-widget' ショートコード経由の SQL インジェクションに対して脆弱です。 これにより、コントリビューターレベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.711284 |
| CVE-2025-10682 | WordPress 用 TARIFFUXX プラグインには、1.4 までのバージョンにおいて SQL インジェクションの脆弱性があります。これは、SQLクエリで直接使用されるユーザー入力の無効化が不十分なためです。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、クエリに追加のSQLを注入し、'tariffuxx_configurator'ショートコードの細工されたid属性を介してデータベースから機密情報を抽出することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.710346 |
| CVE-2025-10660 | WordPress 用 WP Dashboard Chat プラグインは、1.0.3 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'id' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.709717 |
| CVE-2025-10648 | WordPress 用 YourMembership Single Sign On - YM SSO Login プラグインは、1.1.7 までのすべてのバージョンにおいて、'moym_display_test_attributes' 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。これにより、認証されていない攻撃者が最新のSSOログインのプロファイルデータを読み取ることが可能になってしまいます。 | 5.3 |
CVE 2026-01-23 09:00:05.709086 |
| CVE-2025-10575 | WordPress 用 WP jQuery Pager プラグインは、1.4.0 までのすべてのバージョンにおいて、WPJqueryPaged::get_gallery_page_imgs() 関数で処理される 'ids'ショートコード属性パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.708473 |
| CVE-2025-10486 | WordPress 用 Content Writer プラグインは、3.6.8 までのすべてのバージョンにおいて、一般に公開されたログファイルを通じて機密情報を暴露される脆弱性があります。このため、認証されていない攻撃者が、公開されたログファイルに含まれる潜在的にセンシティブな情報を閲覧することが可能です。 | 5.3 |
CVE 2026-01-23 09:00:05.707852 |
| CVE-2025-10313 | WordPress 用の Find And Replace content プラグインは、1.1 までのすべてのバージョンにおいて、far_admin_ajax_fun() 関数の機能チェックが欠けているため、無許可の Stored Cross-Site Scripting および任意のコンテンツ置換の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、特権の昇格や悪意のあるリダイレクトが可能となります。 | 7.2 |
CVE 2026-01-23 09:00:05.707182 |
| CVE-2025-10312 | WordPress 用 Theme Importer プラグインには、1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、theme-importer.php ファイルでフォーム送信を処理する際の nonce バリデーションが欠落しているためです。これにより、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができる偽造リクエストを経由して、任意のファイルをダウンロードさせたり、悪意のある操作を実行させたりする可能性があります。 | 4.3 |
CVE 2026-01-23 09:00:05.706193 |
| CVE-2025-10310 | WordPress 用 Rich Snippet Site Report プラグインは、2.0.0105 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が不十分であるため、'last' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。これは CSRF を介して悪用される可能性もあります。 | 4.9 |
CVE 2026-01-23 09:00:05.705223 |
| CVE-2025-10303 | WordPress 用の Library Management System プラグインは、3.1 までの全てのバージョンにおいて、 owt7_library_management_ajax_handler() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が、プラグインのいくつかの設定と機能を更新し、操作することが可能になります。 | 4.3 |
CVE 2026-01-23 09:00:05.704074 |
| CVE-2025-10301 | WordPress 用 FunKItools プラグインには、1.0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、saveFields() 関数の nonce バリデーションが欠けているか、正しくないことに起因します。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを経由してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2026-01-23 09:00:05.703119 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.