WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-10682 | WordPress 用 TARIFFUXX プラグインには、1.4 までのバージョンにおいて SQL インジェクションの脆弱性があります。これは、SQLクエリで直接使用されるユーザー入力の無効化が不十分なためです。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、クエリに追加のSQLを注入し、'tariffuxx_configurator'ショートコードの細工されたid属性を介してデータベースから機密情報を抽出することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.710346 |
| CVE-2025-10660 | WordPress 用 WP Dashboard Chat プラグインは、1.0.3 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'id' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.709717 |
| CVE-2025-10648 | WordPress 用 YourMembership Single Sign On - YM SSO Login プラグインは、1.1.7 までのすべてのバージョンにおいて、'moym_display_test_attributes' 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。これにより、認証されていない攻撃者が最新のSSOログインのプロファイルデータを読み取ることが可能になってしまいます。 | 5.3 |
CVE 2026-01-23 09:00:05.709086 |
| CVE-2025-10575 | WordPress 用 WP jQuery Pager プラグインは、1.4.0 までのすべてのバージョンにおいて、WPJqueryPaged::get_gallery_page_imgs() 関数で処理される 'ids'ショートコード属性パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.708473 |
| CVE-2025-10486 | WordPress 用 Content Writer プラグインは、3.6.8 までのすべてのバージョンにおいて、一般に公開されたログファイルを通じて機密情報を暴露される脆弱性があります。このため、認証されていない攻撃者が、公開されたログファイルに含まれる潜在的にセンシティブな情報を閲覧することが可能です。 | 5.3 |
CVE 2026-01-23 09:00:05.707852 |
| CVE-2025-10313 | WordPress 用の Find And Replace content プラグインは、1.1 までのすべてのバージョンにおいて、far_admin_ajax_fun() 関数の機能チェックが欠けているため、無許可の Stored Cross-Site Scripting および任意のコンテンツ置換の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、特権の昇格や悪意のあるリダイレクトが可能となります。 | 7.2 |
CVE 2026-01-23 09:00:05.707182 |
| CVE-2025-10312 | WordPress 用 Theme Importer プラグインには、1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、theme-importer.php ファイルでフォーム送信を処理する際の nonce バリデーションが欠落しているためです。これにより、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができる偽造リクエストを経由して、任意のファイルをダウンロードさせたり、悪意のある操作を実行させたりする可能性があります。 | 4.3 |
CVE 2026-01-23 09:00:05.706193 |
| CVE-2025-10310 | WordPress 用 Rich Snippet Site Report プラグインは、2.0.0105 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が不十分であるため、'last' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。これは CSRF を介して悪用される可能性もあります。 | 4.9 |
CVE 2026-01-23 09:00:05.705223 |
| CVE-2025-10303 | WordPress 用の Library Management System プラグインは、3.1 までの全てのバージョンにおいて、 owt7_library_management_ajax_handler() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が、プラグインのいくつかの設定と機能を更新し、操作することが可能になります。 | 4.3 |
CVE 2026-01-23 09:00:05.704074 |
| CVE-2025-10301 | WordPress 用 FunKItools プラグインには、1.0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、saveFields() 関数の nonce バリデーションが欠けているか、正しくないことに起因します。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを経由してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2026-01-23 09:00:05.703119 |
| CVE-2025-10300 | これは、fme_nb_topbar_save_settings() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2026-01-23 09:00:05.702541 |
| CVE-2025-10299 | WPBifröst - Instant Passwordless Temporary Login Links plugin for WordPress は、1.0.7 までのすべてのバージョンにおいて、ctl_create_link AJAX アクションの機能チェックが欠落しているため、特権昇格の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、新しい管理ユーザーアカウントを作成し、そのアカウントでログインすることが可能になります。 | 8.8 |
CVE 2026-01-23 09:00:05.701587 |
| CVE-2025-10294 | WordPress 用 OwnID Passwordless Login プラグインは、1.3.4 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、プラグインが JWT 経由でユーザーを認証する前に ownid_shared_secret の値が空かどうかを適切にチェックしないためです。これにより、プラグインがまだ完全に設定されていないインスタンスで、認証されていない攻撃者が管理者を含む他のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2026-01-23 09:00:05.700811 |
| CVE-2025-10293 | WordPress 用の Keyy Two Factor Authentication (Clef のような) プラグインは、1.2.3 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、プラグインが、生成されたトークンに関連付けられたユーザーの身元を適切に検証しないことに起因します。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、有効な認証トークンを生成し、管理者が2FAを設定している限り、管理者を含む他のアカウントとして自動ログインするためにそれを活用することが可能になります。 | 8.8 |
CVE 2026-01-23 09:00:05.699755 |
| CVE-2025-10194 | WordPress 用 Shortcode Button プラグインは、1.1.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'button' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.699057 |
| CVE-2025-10186 | WhyDonate - FREE Donate button - Crowdfunding - Fundraising plugin for WordPress は、4.0.14 までのすべてのバージョンにおいて、remove_row 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者が wp_wdplugin_style テーブルから行を削除することが可能になります。 | 5.3 |
CVE 2026-01-23 09:00:05.698087 |
| CVE-2025-10141 | WordPress 用 Digiseller プラグインは、1.3.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'ds' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.697432 |
| CVE-2025-10140 | WordPress 用 Quick Social Login プラグインは、1.4.6 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'quick-login' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.696252 |
| CVE-2025-10139 | WordPress 用 WP BookWidgets プラグインは、0.9 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'bw_link' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.695241 |
| CVE-2025-10135 | WordPress 用 WP ViewSTL プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'viewstl' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.694172 |
| CVE-2025-10133 | WordPress 用 URLYar URL Shortner プラグインは、1.1.0 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの 'urlyar_shortlink' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.693149 |
| CVE-2025-10132 | WordPress 用 Dhivehi Text プラグインは、0.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'dhivehi' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-23 09:00:05.692495 |
| CVE-2025-10056 | WordPress 用 Task Scheduler プラグインは、1.6.3 までのすべてのバージョンにおいて、"Check Website" タスクを経由した Server-Side Request Forgery の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 4.4 |
CVE 2026-01-23 09:00:05.691135 |
| CVE-2025-10051 | WordPress 用 Demo Import Kit プラグインは、1.1.0 までのすべてのバージョンにおいて、import 機能を介したファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2026-01-23 09:00:05.690270 |
| CVE-2025-10045 | WordPress 用 onOffice for WP-Websites プラグインは、5.7 までのすべてのバージョンにおいて、'order' パラメータを介した SQL インジェクションの脆弱性があります。 このため、エディタレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能です。 | 4.9 |
CVE 2026-01-23 09:00:05.685992 |
| CVE-2025-10041 | WordPress 用 Flex QR Code Generator プラグインは、1.2.5 までのすべてのバージョンにおいて、 thesave_qr_code_to_db() 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2026-01-23 09:00:05.684930 |
| CVE-2025-10038 | WordPress 用 Binary MLM Plan プラグインは、3.0 までのすべてのバージョンにおいて、限定的な特権昇格の脆弱性があります。これは bmp_user ロールが、プラグインのフォームから登録されたすべてのユーザに manage_bmp 機能をデフォルトで付与しているためです。これにより、認証されていない攻撃者がプラグインを登録し、プラグインの設定を管理することが可能になります。 | 6.5 |
CVE 2026-01-23 09:00:05.672591 |
| CVE-2025-11501 | WordPress 用の Dynamically Display Posts プラグインは、1.1 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'tax_query' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2026-01-23 03:00:15.361450 |
| CVE-2025-11161 | WordPress 用 WPBakery Page Builder プラグインには、8.6.1 までのすべてのバージョンにおいて、vc_custom_heading ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、許可される HTML タグの制限が不十分であることと、font_container パラメータでユーザが提供する属性のサニタイズが不適切であることが原因です。これにより、コントリビュータレベル以上のアクセス権を持つ認証済みの攻撃者は、WPBakeryショートコードを使用するアクセス権を持っているユーザが悪意のあるタグとテキスト属性を持つvc_custom_headingショートコードを介して注入されたページにアクセスするたびに実行される任意のWebスクリプトを投稿に注入することが可能になります。 | 6.4 |
CVE 2026-01-23 03:00:15.360808 |
| CVE-2025-11160 | WordPress 用 WPBakery Page Builder プラグインには、8.6.1 までのすべてのバージョンにおいて、Custom JS モジュールを介した Stored Cross-Site Scripting の脆弱性があります。これは、Custom JS モジュールにおいて、ユーザが提供する JavaScript コードの入力サニタイズと出力エスケープが不十分であることが原因です。このため、投稿タイプのWPBakeryエディタへのアクセス権を持っているユーザがWPBakery Page Builder Custom JSモジュールを介して注入されたページにアクセスするたびに実行される、ページ内の任意のWebスクリプトを、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が注入することが可能になります。 | 6.4 |
CVE 2026-01-23 03:00:15.359919 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.