WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-4405 | WordPress 用 Hot Random Image プラグインは、1.9.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'link' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 4.9 |
CVE 2025-08-24 23:00:05.626079 |
| CVE-2024-9544 | WordPress 用 MapSVG プラグインは、入力のサニタイズと出力のエスケープが不十分なため、8.6.4 までのすべてのバージョンにおいて、SVG ファイルのアップロードを介した Stored クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-08-24 23:00:05.625366 |
| CVE-2025-4133 | Blog2Social：8.4.0以前のWordPressプラグインは、ダッシュボードに投稿を出力する際に投稿のタイトルをエスケープしないため、投稿者ロールを持つユーザーがクロスサイトスクリプティング攻撃を行う可能性があります。 | 5.4 |
CVE 2025-08-24 23:00:05.624028 |
| CVE-2025-5062 | WordPress 用 WooCommerce プラグインは、9.4.2 までのすべてのバージョンにおいて、PostMessage データの入力サニタイズと出力エスケープが不十分なため、「customize-store」ページを介した PostMessage ベースのクロスサイトスクリプティングの脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブスクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-08-24 23:00:05.623029 |
| CVE-2025-4803 | The Glossary by WPPedia - Best Glossary plugin for WordPress plugin for WordPress には、1.3.0 までのすべてのバージョンにおいて、 'posttypes' パラメータから信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。このため、管理者レベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトを注入することが可能です。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性は影響を与えません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-08-24 23:00:05.622334 |
| CVE-2025-4611 | WordPress 用のプラグイン Slim SEO - Fast & Automated WordPress SEO Plugin には、4.5.3 までのすべてのバージョンにおいて、ユーザーから提供された属性の入力サニタイズと出力エスケープが不十分なため、プラグインの slim_seo_breadcrumbs ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。このため、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、任意のウェブスクリプトをページに注入することができます。 | 6.4 |
CVE 2025-08-24 23:00:05.621730 |
| CVE-2025-4221 | WordPress 用の Animated Buttons プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'auto-downloader' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.620964 |
| CVE-2025-4219 | WordPress 用 DPEPress プラグインは、0.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'dpe' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.619975 |
| CVE-2025-4217 | WordPress 用 WP YouTube Video Optimizer プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'ib_youtube' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.619422 |
| CVE-2025-4105 | WordPress 用の Split プラグインは、4.2.8 までのすべてのバージョンにおいて、 'splitIt-flexfields-payment-gateway.php' ファイル内のいくつかの関数における機能チェックが欠落しているため、 データが不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サンドボックスから実運用環境への変更、またはその逆を含む、プラグインの設定を変更することが可能になります。 | 5.4 |
CVE 2025-08-24 23:00:05.618888 |
| CVE-2025-3781 | WordPress 用 Raisely Donation Form プラグインは、1.0 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの raisely_donation_form ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.618289 |
| CVE-2025-3750 | WordPress 用 Network Posts Extended プラグインは、7.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'post_height' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.617293 |
| CVE-2024-12561 | WordPress 用 Google Analytics and other tools プラグインの Affiliate Sales には、1.4.9 までのすべてのバージョンにおいて Open Redirect の脆弱性があります。これは、'afflink' パラメータ経由で提供されるリダイレクト URL の検証が不十分なためです。これにより、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトにリダイレクトさせることが可能になります。 | 6.1 |
CVE 2025-08-24 23:00:05.615429 |
| CVE-2025-4524 | WordPress 用テーマ Madara - レスポンシブでモダンなマンガサイト用 WordPress テーマは、2.2.2 までのすべてのバージョンにおいて、'template' パラメータを経由したローカルファイルインクルード（Local File Inclusion）の脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能となり、そのファイル内の任意の PHP コードの実行を許してしまいます。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コードを実行したりすることが可能になります。 | 9.8 |
CVE 2025-08-24 23:00:05.614089 |
| CVE-2025-4094 | DIGITS：8.4.6.1より前のWordPress携帯番号サインアップおよびログインプラグインでは、OTP検証の試行回数が制限されていないため、攻撃者は簡単にOTPをブルートフォースすることができます。 | 9.8 |
CVE 2025-08-24 23:00:05.612195 |
| CVE-2024-5878 | WordPress 用の複数のプラグインには、様々なバージョンにおいて、プラグインにバンドルされている SimpleLightbox JavaScript ライブラリ（バージョン 2.1.5）を経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-24 23:00:05.610670 |
| CVE-2025-4322 | WordPress 用の Motors テーマには、5.6.67 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、このテーマがパスワードを更新する前にユーザーの身元を適切に検証しないことに起因します。このため、認証されていない攻撃者が、管理者を含む任意のユーザーのパスワードを変更し、それを利用してアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-08-24 23:00:05.607508 |
| CVE-2025-2929 | 12.4.0以前のOrder Delivery Date WordPressプラグインは、ページにパラメータを出力する前にパラメータをサニタイズおよびエスケープしていないため、管理者などの高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 | 7.1 |
CVE 2025-08-24 23:00:05.606419 |
| CVE-2025-39372 | elbisnero WordPress Events Calendar Registration & Tickets の Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性により、Reflected XSS が可能です。この問題は、WordPress Events Calendar Registration & Tickets: n/a から 2.6.0 に影響します。 | 7.1 |
CVE 2025-08-24 23:00:05.605690 |
| CVE-2025-39352 | ThemeGoods Grand Restaurant WordPressに認証漏れの脆弱性があり、不正に設定されたアクセス制御のセキュリティレベルを悪用されます。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 8.2 |
CVE 2025-08-24 23:00:05.605154 |
| CVE-2025-39348 | ThemeGoods Grand Restaurant WordPressに信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 9.8 |
CVE 2025-08-24 23:00:05.604592 |
| CVE-2025-32926 | ThemeGoods Grand Restaurant WordPress には、制限付きディレクトリへのパス名の不適切な制限（「Path Traversal」）の脆弱性があり、Path Traversal を許してしまいます。この問題は、Grand Restaurant WordPress: n/a から 7.0 までのバージョンに影響します。 | 9.8 |
CVE 2025-08-24 23:00:05.603595 |
| CVE-2025-47581 | Elbisnero WordPress Events Calendar Registration & Tickets に信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、WordPress Events Calendar Registration & Tickets: n/a から 2.6.0 に影響します。 | 9.8 |
CVE 2025-08-24 23:00:05.602954 |
| CVE-2025-39411 | Indie_Plugins WhatsApp Click to Chat Plugin for WordPress における PHP プログラムの Include/Require ステートメントにおけるファイル名の不適切な制御（「PHP リモートファイルインクルージョン」）の脆弱性 この問題は、WhatsApp Click to Chat Plugin for WordPress の n/a から 2.2.12 までのバージョンに影響します。 | 7.5 |
CVE 2025-08-24 23:00:05.602313 |
| CVE-2025-39409 | この問題は、WordPress Video Robot - The Ultimate Video Importer の n/a から 1.20.0 までのバージョンに影響します。 | 7.1 |
CVE 2025-08-24 23:00:05.601778 |
| CVE-2025-47582 | QuantumCloud WPBot Pro Wordpress Chatbot に信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、WPBot Pro Wordpress Chatbot: n/a から 12.7.0 に影響します。 | 9.8 |
CVE 2025-08-24 23:00:05.601225 |
| CVE-2025-47576 | この問題は、Bringthepixel Bimber - Viral Magazine WordPress Theme: n/a から 9.2.5 までの Bimber - Viral Magazine WordPress Theme に影響します。 | 8.8 |
CVE 2025-08-24 23:00:05.600610 |
| CVE-2025-46262 | この問題は、Mad Mimi for WordPress: n/a から 1.5.1 までのバージョンに影響します。 | 6.5 |
CVE 2025-08-24 23:00:05.600000 |
| CVE-2025-39376 | QuanticaLabs Car Park Booking System for WordPress に認証漏れの脆弱性。この問題は、Car Park Booking System for WordPress: n/a から 2.6 に影響します。 | 4.3 |
CVE 2025-08-24 23:00:05.599051 |
| CVE-2025-39353 | ThemeGoods Grand Restaurant WordPressに認証漏れの脆弱性があり、不正に設定されたアクセス制御のセキュリティレベルを悪用されます。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 5.3 |
CVE 2025-08-24 23:00:05.598433 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.