WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2023-50896 | WeForms - Easy Drag & Drop Contact Form Builder For WordPress におけるウェブページ生成時の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性 この問題は weForms - Easy Drag & Drop Contact Form Builder For WordPress: n/a から 1.6.17 に影響を及ぼします。 | 4.8 |
CVE 2024-04-07 09:00:04.442591 |
| CVE-2022-44589 | この問題は、miniOrange の Google 認証 - WordPress 二要素認証 - 2FA , 二要素認証、OTP SMS および電子メール | パスワードなしログイン: n/a から 5.6.1 に影響します。 | 7.5 |
CVE 2024-04-07 09:00:04.441225 |
| CVE-2023-40606 | この問題は、Kanban Boards for WordPress の n/a から 2.5.21 までのバージョンに影響します。 | 7.2 |
CVE 2024-04-07 09:00:04.438588 |
| CVE-2022-36399 | BoxyStudio Booked - Appointment Booking for WordPress | Calendars の脆弱性により、許可されていない行為者に機密情報が公開されます。この問題は、Booked - Appointment Booking for WordPress | Calendars: 2.4.4 より前のバージョンに影響します。 | 7.5 |
CVE 2024-04-06 09:00:04.424858 |
| CVE-2023-50845 | この問題は、AyeCode - WordPress Business Directory Plugins の GeoDirectory - WordPress Business Directory Plugin、または Classified Directory: n/a から 2.3.28 にある GeoDirectory - WordPress Business Directory Plugin、または Classified Directory に影響します。 | 7.2 |
CVE 2024-04-06 09:00:04.423961 |
| CVE-2023-50849 | E2Pdf.Com E2Pdf - Export To Pdf Tool for WordPress における SQL コマンドで使用される特殊要素の不適切な中和（「SQL インジェクション」）の脆弱性この問題は、E2Pdf - Export To Pdf Tool for WordPress: n/a から 1.20.23 に影響します。 | 7.2 |
CVE 2024-04-06 09:00:04.423143 |
| CVE-2023-50856 | FunnelKit Funnel Builder for WordPress by FunnelKit - Customize WooCommerce Checkout Pages, Create Sales Funnels & Maximize Profits.この問題は、Funnel Builder for WordPress by FunnelKit - Customize WooCommerce Checkout Pages, Create Sales Funnels & Maximize Profits: n/a から 2.14.3.に影響します。 | 7.2 |
CVE 2024-04-06 09:00:04.422297 |
| CVE-2023-27447 | VeronaLabs WP SMS - Messaging & SMS Notification for WordPress, WooCommerce, GravityForms, etc.の脆弱性により、許可されていない行為者に機密情報が公開されます。この問題は、WP SMS - Messaging & SMS Notification for WordPress, WooCommerce, GravityForms, etc.の n/a から 6.0.4 までのバージョンに影響します。 | 7.5 |
CVE 2024-04-06 09:00:04.421499 |
| CVE-2023-51501 | Undsgn Uncode - Creative & WooCommerce WordPress Theme におけるウェブページ生成中の入力の不適切な中和('クロスサイトスクリプティング')の脆弱性により、Reflected XSS が可能です。この問題は Uncode - Creative & WooCommerce WordPress Theme: n/a から 2.8.6 に影響します。 | 6.1 |
CVE 2024-04-06 09:00:04.420587 |
| CVE-2023-50874 | この問題は、WordPress Infinite Scroll - Ajax Load More の n/a から 6.1.0.1 までのバージョンに影響します。 | 5.4 |
CVE 2024-04-06 09:00:04.418003 |
| CVE-2023-51700 | WordPress用の非公式Mobile BankID Integrationは、ユーザーがWordPressサイトで自分自身を認証するためにMobile BankIDを使用できるようにします。1.0.1より前のWP-Mobile-BankID-Integrationには、信頼できないデータのデシリアライゼーション（Deserialization of Untrusted Data）の脆弱性があり、特に攻撃者がデータベースを操作できるシナリオに影響を及ぼします。権限のない行為者がデータベースにアクセスした場合、この脆弱性を悪用してオブジェクト・インジェクション攻撃を実行する可能性があります。これは、WordPress環境内での不正なコード実行、データ操作、データ流出につながる可能性があります。 このプラグインのユーザーは、OrderResponse オブジェクトのシリアライズとデシリアライズが JSON として格納される配列に変更されたバージョン 1.0.1（またはそれ以降）にアップグレードしてください。 すぐにアップグレードできない場合の回避策として、データベースへのアクセス制御をより厳しくし、信頼され許可されたエンティティだけがデータを変更できるようにすることが考えられます。さらに、データベースの異常なアクティビティを検出する監視ツールを実装することで、潜在的な悪用の試みを特定し、緩和することができます。 | 9.8 |
CVE 2024-04-05 09:00:04.461878 |
| CVE-2023-5431 | WordPress の Left right image slideshow gallery プラグインは、12.0 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、プラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-04 09:00:09.058517 |
| CVE-2023-6268 | 1.5.4以前のJSON Content Importer WordPressプラグインは、ページに出力する前にtabパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 | 6.1 |
CVE 2024-04-04 09:00:08.933480 |
| CVE-2023-6250 | 2.74以前のBestWebSoftのLike & Share WordPressプラグインは、パスワードで保護された投稿の内容を、metaタグを介して認証されていないユーザーに公開している。 | 7.5 |
CVE 2024-04-04 09:00:08.932844 |
| CVE-2023-6166 | 6.4.9.5以前のQuiz Maker WordPressプラグインは、属性でそれらを出力する前に生成されたURLをエスケープしていないため、反射クロスサイトスクリプティングにつながる | 6.1 |
CVE 2024-04-04 09:00:08.932141 |
| CVE-2023-6155 | 6.4.9.5より前のQuiz Maker WordPressプラグインは、`ays_quiz_author_user_search` AJAXアクションを適切に認証していないため、認証されていない攻撃者がシステムのユーザー検索を実行し、最終的にユーザーのメールアドレスを漏えいさせる可能性があります。 | 5.3 |
CVE 2024-04-04 09:00:08.931443 |
| CVE-2023-6114 | 1.5.7.1 以前の Duplicator WordPress プラグイン、4.5.14.2 以前の Duplicator Pro WordPress プラグインは、機密データを含むファイルを一時的に保存する `backups-dup-lite/tmp` ディレクトリ（Pro バージョンでは `backups-dup-pro/tmp` ディレクトリ）の一覧を許可しません。ウェブサーバでディレクトリのリストが有効になっていると、認証されていない攻撃者がこれらの機密ファイルを発見し、アクセスすることが可能になる。 | 7.5 |
CVE 2024-04-04 09:00:08.930770 |
| CVE-2023-5991 | 4.8.5以前のHotel Booking Lite WordPressプラグインは、ユーザー入力によって提供されたファイルパスを検証しておらず、また適切なCSRFおよび認証チェックも行っていないため、認証されていないユーザーがサーバー上の任意のファイルをダウンロードおよび削除することが可能です。 | 9.8 |
CVE 2024-04-04 09:00:08.930077 |
| CVE-2023-5980 | 3.7より前のBSK Forms Blacklist WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者のような高権限ユーザーにストアドクロスサイトスクリプティング攻撃を許してしまう可能性があります。 | 4.8 |
CVE 2024-04-04 09:00:08.929402 |
| CVE-2023-5939 | 4.6.16以前のrtMedia for WordPress、BuddyPress、bbPress WordPressプラグインは、安全でない方法でインポートファイルの内容を読み込み、特権ユーザーによるリモートコード実行につながります。 | 7.2 |
CVE 2024-04-04 09:00:08.928702 |
| CVE-2023-5931 | 4.6.16以前のrtMedia for WordPress, BuddyPress and bbPress WordPressプラグインは、アップロードされるファイルのバリデーションを行わないため、低特権アカウント（購読者など）を持つ攻撃者がサーバー上にPHPなどの任意のファイルをアップロードできる可能性がある。 | 8.8 |
CVE 2024-04-04 09:00:08.927982 |
| CVE-2023-5674 | 1.1.3 より前の WP Mail Log WordPress プラグインは、SQL 文で使用する前にパラメータを適切にサニタイズおよびエスケープしません。 | 8.8 |
CVE 2024-04-04 09:00:08.927280 |
| CVE-2023-5673 | 1.1.3以前のWordPressプラグイン「WP Mail Log」は、メールに添付するファイルをアップロードするファイル拡張子を適切に検証しないため、攻撃者がPHPファイルをアップロードし、リモートでコードが実行される可能性があります。 | 8.8 |
CVE 2024-04-04 09:00:08.926549 |
| CVE-2023-5645 | ー WP Mail Log WordPress プラグイン 1.1.3 以前ではー SQL ステートメントでーでーでーロールがー コントー（ー「ー ロールがー コントラントー下位のー 権限ーのー をー 権能: 権能: 権能: 権能: 権能: 権能, 権能, 権能, 権能, 権能, 権能. | 8.8 |
CVE 2024-04-04 09:00:08.925150 |
| CVE-2023-5644 | 1.1.3より前のWP Mail Log WordPressプラグインは、REST APIエンドポイントを正しく認証していないため、管理者ユーザーのみがアクセスできるはずのデータを、コントリビューターロールを持つユーザーが閲覧および削除できてしまいます。 | 7.6 |
CVE 2024-04-04 09:00:08.924311 |
| CVE-2023-5203 | 1.0.9 より前の WP Sessions Time Monitoring Full Automatic WordPress プラグインは、SQL クエリで使用する前にリクエスト URL やクエリパラメータをサニタイズしていないため、認証されていない攻撃者がブラインドタイムベースの SQL インジェクション手法や、場合によってはエラー/ユニオンベースの手法によって、データベースから機密データを引き出すことができます。 | 7.5 |
CVE 2024-04-04 09:00:08.923524 |
| CVE-2015-10127 | WordPressのPlusCaptchaプラグイン2.0.6までに脆弱性が見つかりました。この問題の影響を受けるのは、いくつかの未知の機能です。この操作はクロスサイトスクリプティングにつながります。攻撃はリモートから行われる可能性があります。バージョン 2.0.14 にアップグレードすることで、この問題に対処できます。このパッチは、1274afc635170daafd38306487b6bb8a01f78ecd として特定されています。 該当するコンポーネントをアップグレードすることを推奨します。VDB-248954 は、この脆弱性に割り当てられた識別子です。 | 6.1 |
CVE 2024-04-04 09:00:08.922668 |
| CVE-2012-10017 | WordPressの2.04までのBestWebSoft Portfolio Pluginに脆弱性が見つかりました。これは問題があると分類されています。これは未知の部分に影響します。この操作はクロスサイトリクエストフォージェリにつながります。リモートから攻撃を開始することが可能です。バージョン2.06にアップグレードすることで、この問題に対処できる。パッチ名は 68af950330c3202a706f0ae9bbb52ceaa17dda9d です。影響を受けるコンポーネントをアップグレードすることを推奨します。この脆弱性の関連識別子は VDB-248955 です。 | 8.8 |
CVE 2024-04-04 09:00:08.920258 |
| CVE-2023-47191 | KaineLabs Youzify - BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress に、ユーザー制御キーによる認証バイパスの脆弱性が存在します。この問題は、Youzify - BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress: n/a から 1.2.2 に影響します。 | 6.5 |
CVE 2024-04-04 03:00:04.196683 |
| CVE-2023-4598 | WordPress 向け Slimstat Analytics プラグインには、ユーザーが提供するパラメーターのエスケープが不十分で、既存の SQL クエリーの準備が十分でないため、5.0.9 までのバージョンでプラグインのショートコードを経由した SQL インジェクションの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2024-04-03 23:00:05.258537 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.