WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-3284 | WordPress 用の User Registration & Membership - Custom Registration Form, Login Form, User Profile プラグインは、5.1.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは user_registration_pro_delete_account() 関数の nonce バリデーションが欠けているか、正しくないことに起因します。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる付与された偽造リクエストを介して、管理者を含むユーザを強制的に削除することが可能になります。 | 4.3 |
CVE 2025-07-28 03:00:15.664996 |
| CVE-2025-3278 | WordPress 用 UrbanGo Membership プラグインは、1.0.4 までのバージョンにおいて特権昇格の脆弱性があります。これは、このプラグインが新規アカウントを登録するユーザが自分のロールを設定したり、'user_register_role' フィールドを与えることを許可しているためです。このため、認証されていない攻撃者が管理者ロールのアカウントを作成することで、昇格した特権を得ることが可能です。 | 9.8 |
CVE 2025-07-28 03:00:15.664111 |
| CVE-2025-3106 | WordPress用プラグインLA-Studio Element Kit for Elementorは、1.4.9までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの目次ウィジェットを介したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-07-27 09:00:05.914725 |
| CVE-2025-3056 | WordPress 用 Download Manager プラグインは、3.3.12 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 5.4 |
CVE 2025-07-27 09:00:05.911991 |
| CVE-2025-3598 | Coupon Affiliates - Affiliate Plugin for WooCommerce plugin for WordPress には、.6.3.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、commission_summary パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-07-27 03:00:04.917449 |
| CVE-2025-2162 | 2.94.10 より前の MapPress Maps for WordPress プラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html 機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 4.8 |
CVE 2025-07-27 03:00:04.913950 |
| CVE-2025-3520 | WordPress 用 Avatar プラグインは、0.1.4 までのすべてのバージョンにおいて、関数内のファイルパスの検証 が不十分なため、任意のファイルを削除される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がサーバー上の任意のファイルを削除することが可能となり、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 8.1 |
CVE 2025-07-26 23:00:05.252611 |
| CVE-2025-2613 | WordPress 用のプラグイン Login Manager - Design Login Page, View Login Activity, Limit Login Attempts には、入力のサニタイズと出力のエスケープが不十分なため、2.0.5 までのすべてのバージョンにおいて、カスタムロゴと背景 URL を介した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-07-26 23:00:05.251446 |
| CVE-2024-13650 | WordPress 用 Piotnet Addons For Elementor プラグインは、2.4.34 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'PAFE Before After Image Comparison Slider' ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-07-26 23:00:05.228841 |
| CVE-2025-39431 | Aaron Forgue Amazon Showcase WordPress プラグインにクロスサイトリクエストフォージェリ (CSRF) の脆弱性があり、蓄積型 XSS が可能です。この問題は Amazon Showcase WordPress Plugin: n/a から 2.2 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.285426 |
| CVE-2025-39417 | Eslam Mahmoud Redirect wordpress to welcome or landing page に CSRF (Cross-Site Request Forgery) 脆弱性があり、Stored XSS を許しています。この問題は、Redirect wordpress to welcome or landing page: n/a から 2.0 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.284504 |
| CVE-2025-32630 | CMSJunkie - WordPress Business Directory プラグイン WP-BusinessDirectory には、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、Reflected XSS を許してしまいます。この問題は WP-BusinessDirectory: n/a から 3.1.2 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.284019 |
| CVE-2025-32592 | RealMag777 TableOn - WordPress Posts Table Filterable に、ウェブページ生成時の入力の不適切な中和（「クロスサイトスクリプティング」）の脆弱性（Stored XSS）が存在します。この問題は、TableOn - WordPress Posts Table Filterable: n/a から 1.0.3 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.283502 |
| CVE-2025-32520 | M. Ali Saleem 氏の WordPress Health and Server Condition - Integrated with Google Page Speed には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS を許しています。この問題は、WordPress Health and Server Condition - Integrated with Google Page Speed: n/a から 4.1.1 に影響を及ぼします。 | 7.1 |
CVE 2025-07-26 09:00:05.282978 |
| CVE-2025-27291 | uxgallery WordPress Photo Gallery - Image Gallery には、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS を許しています。この問題は、WordPress Photo Gallery - Image Gallery: n/a から 2.0.4 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.282404 |
| CVE-2025-24651 | WebToffee WordPress Backup & Migration におけるログファイルへの機密情報挿入の脆弱性により、埋め込まれた機密データの取得が可能になります。この問題は、WordPress Backup & Migration: n/a から 1.5.3 に影響します。 | 5.9 |
CVE 2025-07-26 09:00:05.281848 |
| CVE-2025-24548 | Autoglot - WordPress 自動翻訳における、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性により、Reflected XSS が可能です。この問題は Autoglot - WordPress 自動翻訳: n/a から 2.4.7 に影響します。 | 7.1 |
CVE 2025-07-26 09:00:05.281258 |
| CVE-2025-23906 | wpseek WordPress Dashboard Tweeter に認可漏れの脆弱性があり、不正に設定されたアクセス制御のセキュリティレベルを悪用される可能性があります。この問題は、n/a から 1.3.2 までの WordPress Dashboard Tweeter に影響します。 | 6.5 |
CVE 2025-07-26 09:00:05.280285 |
| CVE-2025-3487 | Forminator Forms - Contact Form, Payment Form & Custom Form Builder プラグインは、1.42.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'limit' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-07-26 09:00:05.279391 |
| CVE-2025-3479 | Forminator Forms - WordPress 用コンタクトフォーム、支払いフォーム、カスタムフォームビルダー プラグインは、1.42.0 までのすべてのバージョンにおいて、ユーザが制御するキーのバリデーションが不十分なため、'handle_stripe_single' 関数を経由したオーダーリプレイの脆弱性があります。これにより、認証されていない攻撃者が複数のトランザクションで1つのStripe PaymentIntentを再利用することが可能になります。最初のトランザクションのみがStripe経由で処理されますが、プラグインは各トランザクションに成功した電子メールメッセージを送信します。 | 5.3 |
CVE 2025-07-26 09:00:05.278320 |
| CVE-2025-3453 | WordPress 用プラグイン Password Protected - Password Protect your WordPress Site, Pages, & WooCommerce Products - Restrict Content, Protect WooCommerce Category and more には、2.7.7 までのすべてのバージョンにおいて、'password_protected_cookie' 関数を介した機密情報暴露の脆弱性があります。このため、'Use Transient' 設定が有効になっている場合、認証されていない攻撃者が、保護されたすべてのサイトコンテンツを含む機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-07-26 09:00:05.275201 |
| CVE-2024-10942 | WordPress 用 All-in-One WP Migration and Backup プラグインは、7.89 までの全てのバージョンにおいて、 'replace_serialized_values' 関数で信頼できない入力をデシリアライズすることにより、 PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションできてしまいます。脆弱なソフトウェアには、既知の POP チェーンは存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在すると、 攻撃者が任意のファイルを削除したり、機密データを取得したり、コードを実行したりできる可能性があります。この脆弱性を悪用するためには、管理者がバックアップをエクスポートし、リストアする必要があります。 | 7.5 |
CVE 2025-07-26 03:00:04.429908 |
| CVE-2025-3615 | WordPress 用 Fluent Forms プラグインは、6.0.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、form-submission.js スクリプトを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-07-26 03:00:04.246259 |
| CVE-2025-3295 | WordPress 用 WP Editor プラグインは、1.2.9.1 までのすべてのバージョンにおいて、任意のファイル を読み取られる脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、影響を受けたサイトのサーバー上の任意のファイルを読み取ることが可能となり、機密情報が漏えいする可能性があります。 | 4.9 |
CVE 2025-07-26 03:00:04.245533 |
| CVE-2025-1525 | 3.8.6より前のUltimate Dashboard WordPressプラグインでは、設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合でも（マルチサイト設定などで）、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-07-26 03:00:04.244408 |
| CVE-2025-1524 | 3.8.6より前のUltimate Dashboard WordPressプラグインでは、設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合でも（マルチサイト設定などで）、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-07-26 03:00:04.243449 |
| CVE-2025-1523 | 3.8.6より前のUltimate Dashboard WordPressプラグインでは、設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合でも（マルチサイト設定などで）、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-07-26 03:00:04.242733 |
| CVE-2024-11924 | 5.7.52以前のWordPressプラグイン「Icegram Express」（旧称「Email Subscribers」）は、設定の一部をサニタイズおよびエスケープしていないため、（マルチサイト設定などで）unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-07-26 03:00:04.228875 |
| CVE-2025-39545 | miniOrange WordPress REST API 認証における認可の欠落の脆弱性により、不正に設定されたアクセス制御のセキュリティレベルを悪用される可能性があります。この問題は、n/a から 3.6.3 までの WordPress REST API 認証に影響します。 | 5.4 |
CVE 2025-07-25 09:00:07.145407 |
| CVE-2025-3104 | WP STAGING Pro WordPress Backup Plugin for WordPress は、getOutdatedPluginsRequest() 関数の機能チェックが欠落しているため、6.1.2 までのすべてのバージョンにおいて情報漏えいの脆弱性があります。これにより、認証されていない攻撃者が、インストールされた古いアクティブまたは非アクティブなプラグインを公開することが可能になります。 | 5.3 |
CVE 2025-07-25 09:00:07.142691 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.