WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-2218 | 2.1.4までのLuckyWP Table of Contents WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 4.6 |
CVE 2024-09-22 03:00:05.402561 |
| CVE-2024-2122 | The Best WordPress Gallery Plugin - FooGallery plugin for WordPressは、2.4.15までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、アルバムギャラリーのカスタムURLを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-22 03:00:05.401735 |
| CVE-2024-1295 | 6.4.0.1より前のevents-calendar-pro WordPressプラグイン、6.4.0.1より前のEvents Calendar WordPressプラグインは、少なくとも投稿者ロールを持つユーザーが、アクセスすべきでないイベントの詳細を漏らすことを防止しません。(パスワードで保護されたイベントや下書きなど) | 6.5 |
CVE 2024-09-22 03:00:05.401027 |
| CVE-2024-4936 | WordPress用Cantoプラグインは、3.0.8までの全てのバージョンにおいて、abspathパラメータを経由したリモートファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバー上のリモートファイルをインクルードし、コードを実行することが可能になります。この問題を悪用するには、ターゲットサイトで allow_url_include が有効になっている必要があります。 | 9.8 |
CVE 2024-09-22 03:00:05.400237 |
| CVE-2024-1094 | Timetics- AI-powered Appointment Booking with Visual Seat Plan and ultimate Calendar Scheduling plugin for WordPress は、1.0.21 までのすべてのバージョンにおいて、make_staff() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、認証されていない攻撃者がユーザーにスタッフ権限を与えることが可能です。 | 7.3 |
CVE 2024-09-22 03:00:05.399393 |
| CVE-2024-0892 | WordPress 用 Schema App Structured Data プラグインは、2.2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは MarkUpdate 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストによって、投稿メタデータを更新したり削除したりすることが可能になります。 | 4.3 |
CVE 2024-09-22 03:00:05.398470 |
| CVE-2023-6492 | WordPress 用 Simple Sitemap - Create a Responsive HTML Sitemap プラグインは、3.5.13 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、class-settings.php にある 'admin_notices' フックの nonce バリデーションが欠けているか、正しくないことが原因です。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができる偽造リクエストを使用して、プラグインのオプションをデフォルトの状態にリセットすることが可能です。 | 4.3 |
CVE 2024-09-22 03:00:05.395788 |
| CVE-2024-37308 | WordPress 用のレシピプラグイン Cooked Pro には、1.7.15.4 までのバージョンにおいて `_recipe_settings[post_title]` パラメータを経由した持続的クロスサイトスクリプティング (XSS) の脆弱性があります。この脆弱性により、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが侵害されたページにアクセスするたびに実行されるようになります。パッチはコミット 8cf88f334ccbf11134080bbb655c66f1cfe77026 で利用可能で、バージョン 1.8.0 の一部となる予定です。 | 5.4 |
CVE 2024-09-21 09:00:12.970241 |
| CVE-2024-4371 | CoDesigner WooCommerce Builder for Elementor - Customize Checkout, Shop, Email, Products & More plugin for WordPress には、4.4.1 までのすべてのバージョンにおいて、recently_viewed_products cookie から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なプラグインには既知の POP チェーンは存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマ経由で存在すると、 攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 9.8 |
CVE 2024-09-21 09:00:12.969574 |
| CVE-2024-3073 | Easy WP SMTP by SendLayer - WordPress SMTP and Email Log Plugin plugin for WordPress には、2.3.0 までのすべてのバージョンにおいて情報漏洩の脆弱性があります。これは、プラグインが設定を表示する際にSMTPパスワードフィールドにSMTPパスワードを提供することに起因します。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者は、提供されたサーバーのSMTPパスワードを閲覧することが可能です。ほとんどの場合、これは攻撃者にとって有用ではないが、管理者アカウントが侵害された場合、これは限定された環境で攻撃者にとって有用な情報となる可能性がある。 | 2.7 |
CVE 2024-09-21 09:00:12.968903 |
| CVE-2024-1565 | EmbedPress - Embed PDF, YouTube, Google Docs, Vimeo, Wistia Videos, Audios, Maps & Any Documents in Gutenberg & Elementor plugin for WordPress には、3.9.10 までのすべてのバージョンにおいて、PDF Widget URL を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-21 09:00:12.968104 |
| CVE-2024-0979 | WordPress 用 Dashboard Widgets Suite プラグインは、3.4.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'tab' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-09-21 09:00:12.965423 |
| CVE-2024-4615 | Elespare - テンプレート、ウィジェット、キット、ヘッダー/フッタービルダーを備えたElementor用ブログ、雑誌、新聞アドオン。ワンクリックでインポート：WordPress 用のプラグイン "No Coding Required!" は、3.1.2 までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、'Horizontal Nav Menu' ウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-21 03:00:04.838676 |
| CVE-2024-5265 | WordPress 用 WPBakery Visual Composer プラグインは、7.6 までのすべてのバージョンにおいて、vc_single_image ショートコード内の link 属性を経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-21 03:00:04.837887 |
| CVE-2024-5787 | PowerPack Addons for Elementor (Free Widgets, Extensions and Templates) plugin for WordPress は、2.7.20 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインの Link Effects ウィジェット内の 'url' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-21 03:00:04.837213 |
| CVE-2024-5757 | WordPress 用 Elementor Header & Footer Builder プラグインには、1.6.35 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインの Site Title ウィジェット内の url 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-21 03:00:04.836507 |
| CVE-2024-4149 | フローティングチャットウィジェット：Contact Chat Icons, WhatsApp, Telegram Chat, Line Messenger, WeChat, Email, SMS, Call Button 3.2.3以前のWordPressプラグインは、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2024-09-21 03:00:04.835738 |
| CVE-2024-3552 | Web Directory Free WordPress プラグイン 1.7.0 以前のバージョンでは、認証されていないユーザーが利用可能な AJAX アクションで SQL 文にパラメータを使用する前に、パラメータをサニタイズおよびエスケープしていないため、UNION、Time-Based、Error-Based などのさまざまなテクニックを使用した SQL インジェクションが発生します。 | 9.8 |
CVE 2024-09-21 03:00:04.834307 |
| CVE-2024-3032 | 7.5.8以前のThemify Builder WordPressプラグインは、ユーザーをその値にリダイレクトする前にパラメーターを検証しないため、オープン・リダイレクトの問題が発生します。 | 6.1 |
CVE 2024-09-21 03:00:04.833528 |
| CVE-2024-2762 | 2.4.15より前のFooGallery WordPressプラグイン、2.4.15より前のfoogallery-premium WordPressプラグインは、ギャラリーの設定をページに出力する前にバリデーションとエスケープを行っていません。 | 5.4 |
CVE 2024-09-21 03:00:04.832725 |
| CVE-2024-2098 | WordPress 用 Download Manager プラグインは、3.2.89 までのすべてのバージョンにおいて、'protectMediaLibrary' 関数の認証チェックが不適切なため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がパスワードで保護されたファイルをダウンロードすることが可能になります。 | 7.5 |
CVE 2024-09-21 03:00:04.830072 |
| CVE-2024-3922 | WordPress 用 Dokan Pro プラグインは、3.10.3 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'code' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 9.8 |
CVE 2024-09-20 23:00:05.950562 |
| CVE-2024-37297 | WooCommerceはWordPressで構築されたオープンソースのeコマースプラットフォームです。WooCommerce 8.8で導入された脆弱性は、クロスサイトスクリプティングを可能にします。悪意のある行為者は、リンクを操作して悪意のあるHTMLとJavaScriptのコンテンツを含めることができます。コンテンツはデータベースに保存されませんが、リンクは悪意のある目的で被害者に送信される可能性があります。注入されたJavaScriptは、セッションを含め、ブラウザに保存されているコンテンツやデータを乗っ取る可能性がある。URLのコンテンツは`Sourcebuster.js`ライブラリを通して読み込まれ、適切なサニタイズ処理なしにクラシックなチェックアウトと登録フォームに挿入されます。バージョン8.8.5と8.9.3にはこの問題に対するパッチが含まれています。回避策として、Order Attribution機能を無効にすることができます。 | 5.4 |
CVE 2024-09-20 09:00:18.207635 |
| CVE-2024-5674 | WordPress 用アドオンプラグイン Newsletter - API v1 and v2 には、2.4.5 までのすべてのバージョンにおいて、check_api_key 関数の PHP タイプジャグリングの問題により、不正な購読者管理の脆弱性があります。これにより、認証されていない攻撃者がニュースレターの購読者をリストアップ、作成、削除することが可能になります。この問題は、8.0以下のPHPバージョンを実行しているサイトのみに影響します。 | 6.5 |
CVE 2024-09-20 09:00:18.207021 |
| CVE-2024-4898 | WordPress 用プラグイン InstaWP Connect - 1-click WP Staging & Migration は、0.1.0.38 までのすべてのバージョンにおいて、REST API 呼び出しの認可チェックが欠落しているため、任意のオプション更新の脆弱性があります。これにより、認証されていない攻撃者が InstaWP API にサイトを接続し、任意のサイトオプションを編集し、管理者アカウントを作成することが可能になります。 | 9.8 |
CVE 2024-09-20 09:00:18.206383 |
| CVE-2024-3492 | WordPress 用プラグイン Events Manager - Calendar, Bookings, Tickets, and more! は、6.4.7.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'event', 'location', 'event_category' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-09-20 09:00:18.205732 |
| CVE-2024-1766 | WordPress 用 Download Manager プラグインは、3.2.86 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ユーザの表示名を経由した Stored Cross-Site Scripting の脆弱性があります。このため、加入者レベル以上のアクセス権を持つ認証された攻撃者は、任意のウェブ・スクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この脆弱性を悪用するにはソーシャルエンジニアリングが必要であり、攻撃者は注入されたペイロードを実行するユーザとしてログインする必要があるため、影響は非常に限定的となる。 | 5.4 |
CVE 2024-09-20 09:00:18.205021 |
| CVE-2024-4845 | WordPress 用 Icegram Express プラグインは、5.7.22 までのすべてのバージョンにおいて、'options[list_id]' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 | 8.8 |
CVE 2024-09-20 09:00:18.204306 |
| CVE-2024-2092 | WordPress 用 Elementor Addon Elements プラグインには、1.13.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Twitter ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-20 09:00:18.203582 |
| CVE-2024-5468 | WordPress Header Builder Plugin - Pearl プラグインは、1.3.7 までのすべてのバージョンにおいて、 stm_hb_delete() 関数のバリデーションとケイパビリティチェックが欠落しているため、 不正にサイトオプションを削除される脆弱性があります。このため、認証されていない攻撃者が任意のオプションを削除することが可能となり、サイトに対するサービス拒否攻撃を実行するために使用される可能性があります。 | 6.5 |
CVE 2024-09-20 09:00:18.202651 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.