WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-4042 | WordPress 用の Post Grid, Form Maker, Popup Maker, WooCommerce Blocks, Post Blocks, Post Carousel - Combo Blocks プラグインは、2.2.80 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、menu-wrap-item ブロックの 'class' 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-15 03:00:07.022398 |
| CVE-2024-3592 | Quiz And Survey Master - Best Quiz, Exam and Survey Plugin for WordPress plugin for WordPressは、9.0.1までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存のSQLクエリに十分な準備がないため、'question_id'パラメータを経由したSQLインジェクションの脆弱性があります。 これにより、投稿者レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 9.9 |
CVE 2024-09-15 03:00:07.021813 |
| CVE-2023-6491 | WordPress 用 Strong Testimonials プラグインは、3.1.12 までのすべてのバージョンにおいて、 wpmtst_save_view_sticky 関数の機能チェックが不適切なため、データを不正に変更される脆弱性があります。これにより、投稿者以上のアクセス権を持つ認証済みの攻撃者が、お気に入りのビューを変更することが可能になってしまいます。 | 4.3 |
CVE 2024-09-15 03:00:07.021234 |
| CVE-2024-5640 | WordPress 用の Prime Slider - Addons For Elementor (Revolution of a slider, Hero Slider, Ecommerce Slider) プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.14.7 までのすべてのバージョンにおいて、Pacific ウィジェット内の 'id' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-15 03:00:07.020552 |
| CVE-2024-5612 | WordPress用Essential Addons for Elementor Proプラグインは、入力のサニタイズと出力のエスケープが不十分なため、5.8.15までのすべてのバージョンにおいて、ライトボックス＆モーダルウィジェット内の'eael_lightbox_open_btn_icon'パラメータを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-15 03:00:07.019932 |
| CVE-2024-5425 | WordPress 用の WP jQuery Lightbox プラグインは、1.5.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'title' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-15 03:00:07.018762 |
| CVE-2024-4887 | WordPress 用 Qi Addons For Elementor プラグインは、1.7.2 までのすべてのバージョンにおいて、qi_addons_for_elementor_blog_list ショートコードに見られる 'behavior' 属性を経由したリモートファイルインクルードの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、サーバー上のリモートファイルをインクルードすることが可能となり、コードの実行につながります。これは、攻撃者が存在しないディレクトリを作成するか、パスに存在しないディレクトリがあってもfile_existsがfalseを返さないインスタンスをターゲットにする必要があることに注意してください。 | 7.5 |
CVE 2024-09-15 03:00:07.018120 |
| CVE-2024-36082 | Music Store - WordPress eCommerce のバージョン 1.1.14 より前のバージョンには、SQL インジェクションの脆弱性があり、リモートで認証された管理者権限を持つ攻撃者に任意の SQL コマンドを実行される可能性があります。データベースに保存された情報は、攻撃者によって取得または変更される可能性があります。 | 6.5 |
CVE 2024-09-15 03:00:07.017472 |
| CVE-2024-1988 | WordPress 用プラグイン Post Grid, Form Maker, Popup Maker, WooCommerce Blocks, Post Blocks, Post Carousel - Combo Blocks には、2.2.80 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ブロック内の 'tag' 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-15 03:00:07.016430 |
| CVE-2024-5607 | WordPress 用の GDPR CCPA Compliance & Cookie Consent Banner プラグインは、2.7.0 までのすべてのバージョンにおいて、ajaxUpdateSettings() という名前の関数の機能チェックが欠落しているため、データが不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの設定を変更したり、ページのコンテンツを更新したり、任意の電子メールを送信したり、悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 5.4 |
CVE 2024-09-15 03:00:07.015690 |
| CVE-2024-3987 | WP Mobile Menu - The Mobile-Friendly Responsive Menu plugin for WordPress は、2.8.4.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、画像の alt テキストを介した Stored Cross-Site Scripting の脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-15 03:00:07.014603 |
| CVE-2024-1768 | WordPress 用の Clever Fox プラグインは、25.2.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの info ボックスブロックを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-15 03:00:07.011808 |
| CVE-2024-1689 | WordPress 用 WooCommerce Tools プラグインは、1.2.9 までのすべてのバージョンにおいて、 woocommerce_tool_toggle_module() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のプラグインモジュールを無効化することが可能になります。 | 5.3 |
CVE 2024-09-14 23:00:04.629852 |
| CVE-2023-6876 | Nayra ThemesによるWordPress用プラグイン「Clever Fox - One Click Website Importer」には、25.2.0までのすべてのバージョンにおいて、「clever-fox-activate-theme」関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバ以上のアクセス権を持つ認証済みの攻撃者が、無効な値を含むアクティブなテーマを変更し、サイトをダウンさせることが可能です。 | 5.4 |
CVE 2024-09-14 23:00:04.626748 |
| CVE-2024-5489 | WordPress 用 Wbcom Designs - Custom Font Uploader プラグインは、2.3.4 までのすべてのバージョンにおいて、'cfu_delete_customfont' 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が任意のカスタムフォントを削除することが可能になります。 | 4.3 |
CVE 2024-09-14 09:00:04.189338 |
| CVE-2024-5188 | Elementor 用 Essential Addons - Best Elementor Templates, Widgets, Kits & WooCommerce Builders plugin for WordPress は、5.9.22 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'get_manual_calendar_events' 関数を介した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.188591 |
| CVE-2024-5038 | WordPress 用 Colibri Page Builder プラグインは、1.0.276 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.187742 |
| CVE-2024-5329 | WordPress 用 Unlimited Elements For Elementor (無料ウィジェット、アドオン、テンプレート) プラグインは、1.5.109 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'data[addonID]' パラメータを経由したブラインド SQL インジェクションの脆弱性があります。 これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者は、データベースから機密情報を抽出するために使用することができる既存のクエリに、追加のSQLクエリを追加することが可能になります。 | 8.8 |
CVE 2024-09-14 09:00:04.186915 |
| CVE-2024-5259 | WordPress 用 MultiVendorX Marketplace - WooCommerce MultiVendor Marketplace Solution プラグインは、4.1.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'hover_animation' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.186208 |
| CVE-2024-5221 | WordPress 用 Qi Blocks プラグインは、1.2.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインのファイルアップローダーを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.183623 |
| CVE-2024-5665 | WordPress 用の Login/Signup Popup ( Inline Form + Woocommerce ) プラグインは、バージョン 2.7.1 から 2.7.2 における 'export_settings' 関数の機能チェックの欠落により、データに不正アクセスされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイト上の任意のオプションを読み取ることが可能になります。 | 4.3 |
CVE 2024-09-14 03:00:05.737013 |
| CVE-2024-5615 | WordPress 用 Open Graph プラグインは、1.11.2 までのすべてのバージョンにおいて、'opengraph_default_description' 関数を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、パスワードで保護されたブログ記事の部分的な内容を含む機密データを抽出することが可能になります。 | 5.3 |
CVE 2024-09-14 03:00:05.736231 |
| CVE-2024-5449 | WP Dark Mode - WordPress Dark Mode Plugin for Improved Accessibility, Dark Theme, Night Mode, and Social Sharing plugin for WordPress には、5.0.4 までのすべてのバージョンにおいて、wpdm_social_share_save_options 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2024-09-14 03:00:05.735604 |
| CVE-2024-5162 | WordPress の prettyPhoto プラグインは、1.2.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'url' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.735001 |
| CVE-2024-5161 | WordPress 用 Magical Addons For Elementor ( Header Footer Builder, Free Elementor Widgets, Elementor Templates Library ) プラグインは、1.1.39 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'_id' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.734357 |
| CVE-2024-5153 | WordPress 用 Startklar Elementor Addons プラグインは、1.7.15 までのすべてのバージョンにおいて、'dropzone_hash' パラメータを介したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者が、機密情報を含む可能性のあるサーバー上の任意のファイルの内容をコピーしたり、WordPress のルートディレクトリを含む任意のディレクトリを削除したりすることが可能になります。 | 9.8 |
CVE 2024-09-14 03:00:05.733712 |
| CVE-2024-5152 | WordPress 用 Elementor プラグイン ElementsReady Addons には、入力のサニタイズと出力のエスケープが不十分なため、6.1.0 までのすべてのバージョンにおいて、'_id' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.733046 |
| CVE-2024-5141 | WordPress 用 Rotating Tweets (Twitter ウィジェットおよびショートコード) プラグインは、1.9.10 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズおよび出力のエスケープが不十分なため、プラグインの 'rotatingtweets' を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.732225 |
| CVE-2024-4707 | WordPress 用 Materialis Companion プラグインは、1.3.41 までのすべてのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの materialis_contact_form ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.731392 |
| CVE-2024-4608 | SellKit - Funnel builder and checkout optimizer for WooCommerce to sell more, faster plugin for WordPress は、1.9.8までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.730534 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.