WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-7050 | Use-your-Drive | Google Drive plugin for WordPress plugin for WordPress には、3.3.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ファイルメタデータの 'title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、攻撃者は任意のウェブ・スクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この脆弱性は、ファイルアップロードショートコードが一般にアクセス可能な投稿で公開されると、認証されていないユーザを含む、ファイルをアップロードすることを許可された最も低い認証レベルによって悪用される可能性があります。 | 7.2 |
CVE 2025-11-13 03:00:12.738236 |
| CVE-2024-13899 | WordPress 用 Mambo Importer プラグインは、1.0 までのすべてのバージョンにおいて、 fImportMenu 関数の $data パラメータを介した信頼できない入力のデシリアライズにより、 PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-11-12 23:00:09.210117 |
| CVE-2024-11600 | Borderless - Widgets, Elements, Templates and Toolkit for Elementor & Gutenberg plugin for WordPress には、1.5.9 までのすべてのバージョンにおいて、'write_config' 関数を経由したリモートコード実行の脆弱性があります。これは、インポートされた JSON ファイルのサニタイズの欠如によるものです。これは、インポートされた JSON ファイルのサニタイズの欠如によるものです。このため、管理者レベル以上のアクセス権を持つ、認証された攻撃者が、サーバ上でコードを実行することが可能です。 | 7.2 |
CVE 2025-11-12 09:00:09.012958 |
| CVE-2024-11465 | Custom Product Tabs for WooCommerce plugin for WordPress は、1.8.5 までのすべてのバージョンにおいて、 'yikes_woo_products_tabs' post meta パラメータの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、ショップマネージャーレベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しません。もし POP チェーンが、ターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在する場合、攻撃者が任意のファイルを削除したり、機密データを取得したり、コードを実行したりできる可能性があります。 | 7.2 |
CVE 2025-11-12 03:00:16.651660 |
| CVE-2024-13351 | WordPress 用の Social proof testimonials and reviews by Repuso プラグインは、5.20 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'rw_image_badge1' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-11 23:00:06.628314 |
| CVE-2025-0817 | WordPress 用 FormCraft プラグインは、3.9.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトを、認証されていない攻撃者がページに注入することが可能になります。 | 7.2 |
CVE 2025-11-11 09:00:05.774062 |
| CVE-2025-0809 | WordPress 用 Link Fixer プラグインは、3.4 までのすべてのバージョンにおいて、 入力サニタイズと出力エスケープが不十分なため、リンク切れを介した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-11 03:00:09.295814 |
| CVE-2025-7710 | WordPress 用 Brave Conversion Engine (PRO) プラグインは、0.7.7 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、プラグインがFacebookで認証する際に、主張されたIDを適切に制限していないことが原因です。このため、認証されていない攻撃者が管理者を含む他のユーザーとしてログインすることが可能です。 | 9.8 |
CVE 2025-11-10 09:00:19.511095 |
| CVE-2025-7500 | WordPress用Ocean Social Sharingプラグインは、2.2.1までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ソーシャルアイコンのタイトルを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 09:00:19.510102 |
| CVE-2025-8488 | WordPress 用の Ultimate Addons for Elementor (旧 Elementor Header & Footer Builder) プラグインは、2.4.6 までのすべてのバージョンにおいて、save_hfe_compatibility_option_callback ()関数のケイパビリティチェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が互換性オプション設定を更新することが可能になります。 | 4.3 |
CVE 2025-11-10 09:00:19.509302 |
| CVE-2025-6722 | BitFire Security - Firewall, WAF, Bot/Spam Blocker, Login Security plugin for WordPress は、4.5 までのすべてのバージョンにおいて、bitfire_* ディレクトリが自動的に作成され、アクセス制限なしに潜在的にセンシティブなファイルが保存されるため、センシティブな情報漏洩の脆弱性があります。このため、サーバー上でディレクトリのリストが有効になっており、~/wp-content/plugins/index.php ファイルがないか無視されている場合、認証されていない攻撃者が config.ini、debug.log などのさまざまなファイルから機密データを抽出することが可能です。 | 5.3 |
CVE 2025-11-10 09:00:19.508006 |
| CVE-2025-8400 | WordPress 用 Image Gallery プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.1 |
CVE 2025-11-10 09:00:19.507304 |
| CVE-2025-8399 | WordPress 用の Mmm Unity Loader プラグインは、1.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'attributes' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 09:00:19.505714 |
| CVE-2025-8391 | WordPress 用 Magic Edge - Lite プラグインは、1.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'height' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 09:00:19.504647 |
| CVE-2025-6832 | WordPress 用 All in One Time Clock Lite - Tracking Employee Time Has Never Been Easier プラグインは、2.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「nonce」パラメータを介した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-11-10 09:00:19.493014 |
| CVE-2025-8317 | WordPress 用 Custom Word Cloud プラグインは、0.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'angle' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 03:00:07.351068 |
| CVE-2025-8212 | WordPress 用 Elementor プラグインの Medical Addon には、1.6.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのタイプライターウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 03:00:07.350404 |
| CVE-2025-8152 | WP CTA - Call To Action Plugin, Sticky CTA, Sticky Buttons plugin for WordPress は、1.7.0 までのすべてのバージョンにおいて、'update_cta_status' および 'change_sticky_sidebar_name' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が付箋のステータスを更新したり、バックエンドのWP CTAダッシュボードに表示される名前を更新したりすることが可能になります。 | 5.3 |
CVE 2025-11-10 03:00:07.349250 |
| CVE-2025-6754 | WordPress 用 SEO Metrics プラグインは、バージョン 1.0.5 から 1.0.15 の seo_metrics_handle_connect_button_click() AJAX ハンドラと seo_metrics_handle_custom_endpoint() 関数の両方において、権限チェックが欠落しているため、特権昇格の脆弱性があります。AJAX アクションは呼び出し元の能力をチェックせずに nonce を検証するだけなので、サブスクライバレベルのユーザはトークンを取得し、カスタムエンドポイントにアクセスして完全な管理者クッキーを取得することができます。 | 8.8 |
CVE 2025-11-10 03:00:07.348507 |
| CVE-2025-6626 | WordPress 用 ShortPixel Adaptive Images - WebP, AVIF, CDN, Image Optimization プラグインは、3.10.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、API URL 設定を経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-11-10 03:00:07.347400 |
| CVE-2025-4588 | WordPress 用 360 Photo Spheres プラグインは、1.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sphere' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 03:00:07.346224 |
| CVE-2025-8146 | WordPress 用 Qi Addons For Elementor プラグインは、1.9.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザー提供属性の出力エスケープが不十分なため、プラグインの TypeOut Text ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-10 03:00:07.344929 |
| CVE-2025-7694 | WordPress 用 Woffice Core プラグインは、5.4.26 までのすべてのバージョンにおいて、 woffice_file_manager_delete() 関数のファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のファイルを削除することが可能になり、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 6.8 |
CVE 2025-11-10 03:00:07.340657 |
| CVE-2025-6228 | Sina Extension for Elementor (Header Builder, Footer Builter, Theme Builder, Slider, Gallery, Form, Modal, Data Table Free Elementor Widgets & Elementor Templates) plugin for WordPress は、3.7.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、`Sina Posts`, `Sina Blog Post`, `Sina Table` ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行される。 | 6.4 |
CVE 2025-11-09 09:00:09.598247 |
| CVE-2025-4684 | BlockSpare：Gutenberg Blocks & Patterns for Blogs, Magazines, Business Sites - Post Grids, Sliders, Carousels, Counters, Page Builder & Starter Site Imports, No Coding Needed for WordPressプラグインは、3.2.13.1までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Image CarouselウィジェットおよびImage SliderウィジェットのHTML属性を介したStored Cross-Site Scriptingの脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-09 09:00:09.590759 |
| CVE-2025-7646 | The Plus Addons for Elementor - Elementor Addons, Page Templates, Widgets, Mega Menu, WooCommerce plugin for WordPress は、6.3.10 までのすべてのバージョンにおいて、ユーザーが unfiltered_html の機能を持っていない場合でも、custom script パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-09 03:00:04.087481 |
| CVE-2025-5921 | 1.7.2より前のSureForms WordPressプラグインは、パラメータをページに出力する前にサニタイズおよびエスケープを行わないため、認証済みおよび未認証のユーザーに対して使用される可能性のあるリフレクト・クロスサイト・スクリプティングを引き起こします。 | 5.8 |
CVE 2025-11-09 03:00:04.086193 |
| CVE-2025-7845 | Stratum - Elementor Widgets plugin for WordPress は、1.6.0 までのすべてのバージョンにおいて、プラグインの Advanced Google Maps および Image Hotspot ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-09 03:00:04.084722 |
| CVE-2025-7725 | WordPress 用の Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery - Upload, Vote, Sell via PayPal or Stripe, Social Share Buttons, OpenAI plugin には、入力のサニタイズと出力のエスケープが不十分なため、26.1.0 までのすべてのバージョンにおいて、コメント機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-09 03:00:04.082937 |
| CVE-2025-7443 | BerqWP - Automated All-In-One Page Speed Optimization for Core Web Vitals, Cache, CDN, Images, CSS, and JavaScript plugin for WordPress は、2.2.42 までのすべてのバージョンにおいて、store_javascript_cache.php ファイルを介したファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.1 |
CVE 2025-11-09 03:00:04.080600 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.