WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-11341 | WordPress 用 Simple Redirection プラグインには、1.5 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、settings_page() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者がプラグインの設定を更新し、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、偽造されたリクエストを介してすべてのサイト訪問者をリダイレクトさせることが可能になります。 | 4.3 |
CVE 2025-03-15 09:00:06.791865 |
| CVE-2024-11324 | WordPress 用の Accounting for WooCommerce プラグインは、1.6.6 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-15 09:00:06.791281 |
| CVE-2024-10848 | WordPress 用の NewsMunch テーマは、1.0.35 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、悪意のある表示名を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-15 09:00:06.790640 |
| CVE-2024-10777 | WordPress 用の AnyWhere Elementor プラグインは、1.2.11 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分なため、'INSERT_ELEMENTOR' ショートコードを経由した情報暴露の脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、Elementor で作成された非公開の投稿や下書きの投稿から、アクセスすべきではないデータを抽出することが可能です。 | 4.3 |
CVE 2025-03-15 09:00:06.789996 |
| CVE-2024-10056 | WordPress 用 Contact Form Builder by vcita プラグインは、4.10.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの livesite-pay ショートコードを経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-15 09:00:06.788967 |
| CVE-2024-10937 | WordPress 用の Related Posts, Inline Related Posts, Contextual Related Posts, Related Content By PickPlugins プラグインには、2.0.58 までのすべてのバージョンにおいて、wp_ajax_nopriv_related_post_ajax_get_post_ids AJAX アクションを経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、下書き状態の投稿のタイトルを含む機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-03-15 09:00:06.786561 |
| CVE-2024-10952 | WordPress 用 The Authors List プラグインは、2.0.4 までのすべてのバージョンにおいて、update_authors_list_ajax AJAX アクション経由で任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-03-15 03:00:08.390713 |
| CVE-2024-11429 | WordPress 用の Free Responsive Testimonials, Social Proof Reviews, and Customer Reviews - Stars Testimonials プラグインは、3.3.3 までのすべてのバージョンにおいて、'stars-testimonials-with-slider-and-masonry-grid' ショートコード経由でのローカルファイルインクルードの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の PHP ファイルをサーバにインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、PHP ファイルをアップロードしてインクルードできる場合にコードを実行したりするために使用できます。 | 8.8 |
CVE 2025-03-15 03:00:08.265764 |
| CVE-2024-10178 | WordPress 用プラグイン Gutentor - Gutenberg Blocks - Page Builder for Gutenberg Editor には、3.3.9 までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカウントダウンウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-15 03:00:08.264659 |
| CVE-2024-10881 | WordPress 用 LUNA RADIO PLAYER プラグインは、6.24.11.07 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'lunaradio' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-15 03:00:08.262069 |
| CVE-2024-11643 | WordPress 用の Accessibility by AllAccessible プラグインは、1.3.4 までのすべてのバージョンにおいて、'AllAccessible_save_settings' 関数の機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-03-14 09:00:11.221704 |
| CVE-2024-11935 | WordPress 用 Email Address Obfuscation プラグインは、1.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'class' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 09:00:11.221044 |
| CVE-2024-8962 | WordPress 用 WPBITS Addons For Elementor Page Builder プラグインは、1.5.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-03-14 09:00:11.220328 |
| CVE-2024-11854 | WordPress 用プラグイン Listdom - Business Directory and Classified Ads Listings WordPress Plugin には、入力のサニタイズと出力のエスケープが不十分なため、3.7.0 までのすべてのバージョンにおいて、'shortcode' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 09:00:11.219481 |
| CVE-2024-11814 | WordPress 用 WooCommerce プラグイン Additional Custom Order Status には、1.6.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、wfwp_wcos_delete_finished、wfwp_wcos_delete_fallback_finished、wfwp_wcos_delete_fallback_orders_updated、および wfwp_wcos_delete_fallback_status パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-14 09:00:11.218887 |
| CVE-2024-5020 | WordPress 用の複数のプラグインには、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、様々なバージョンにおいて、プラグインにバンドルされている FancyBox JavaScript ライブラリ（バージョン 1.3.4 から 3.5.7）を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 09:00:11.218266 |
| CVE-2024-11952 | WordPress 用の Classic Addons - WPBakery Page Builder プラグインは、3.0 までのすべてのバージョンにおいて、'style' パラメータを経由した制限付きローカル PHP ファイルインクルードの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持ち、管理者から権限を付与された認証済みの攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行を許してしまいます。この脆弱性を利用することで、アクセス制御を回避したり、 機密データを取得したり、画像やその他の「安全な」ファイルタイプをアップロードしたりインクルードしたり することが可能です。この脆弱性は、Windows 環境の PHP ファイルに限定されます。 | 7.5 |
CVE 2025-03-14 09:00:11.217604 |
| CVE-2024-11880 | B Testimonial - testimonial plugin for WP plugin for WordPress は、1.2.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'b_testimonial' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 09:00:11.216998 |
| CVE-2024-10787 | LA-Studio Element Kit for Elementor plugin for WordPress は、1.4.4 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分であるため、'elementor-template' ショートコードを経由した情報漏えいの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、Elementorで作成された非公開の投稿や下書き投稿から、アクセスすべきでないデータを抜き取ることが可能になってしまいます。 | 4.3 |
CVE 2025-03-14 09:00:11.216293 |
| CVE-2024-10567 | WordPress 用 TI WooCommerce Wishlist プラグインは、2.9.1 までのすべてのバージョンにおいて、'wizard' 機能の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が新しいページを作成したり、プラグインの設定を変更したり、限定的なオプションの更新を実行したりすることが可能になってしまいます。 | 7.5 |
CVE 2025-03-14 09:00:11.213737 |
| CVE-2024-11903 | WordPress 用 WP eCards プラグインは、1.3.904 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'ecard' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 03:00:08.143325 |
| CVE-2024-11769 | WordPress 用 Flower Delivery by Florist One プラグインは、3.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'flower-delivery' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 03:00:08.142709 |
| CVE-2024-11466 | WordPress 用の Intro Tour Tutorial DeepPresentation プラグインは、入力のサニタイズと出力のエスケープが不十分なため、6.5.2 までのすべてのバージョンにおいて、'tab' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-14 03:00:08.141468 |
| CVE-2024-11293 | WordPress 用 Registration Forms - ユーザー登録フォーム、招待ベース登録、フロントエンドユーザープロファイル、ログインフォーム & コンテンツ制限 ソーシャルサイトログインプラグインは、1.7.9 までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、ソーシャルログイントークンによって返されるユーザーの検証が不十分なためです。このため、認証されていない攻撃者は、電子メールにアクセスすることができ、トークンを返すサービスの既存のアカウントを持っていない場合、管理者などのサイトの既存のユーザーとしてログインすることが可能です。 | 8.1 |
CVE 2025-03-14 03:00:08.140769 |
| CVE-2024-10664 | Knowledge Base documentation & wiki plugin - BasePress Docs plugin for WordPress は、2.16.3.3 までのすべてのバージョンにおいて、 basepress_db_posts_update() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者がデータベースを更新することが可能です。 | 4.3 |
CVE 2025-03-14 03:00:08.140107 |
| CVE-2023-6978 | WordPress 用 WP Job Manager - Company Profiles プラグインは、1.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'company' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-14 03:00:08.139364 |
| CVE-2024-12099 | Dollie Hub - Build Your Own WordPress Cloud Platform plugin for WordPress は、6.2.0 までのすべてのバージョンにおいて、「elementor-template」ショートコードによる情報漏えいの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、パスワードで保護された投稿、非公開の投稿、またはアクセスすべきでない下書きの投稿からデータを抽出することが可能になります。 | 4.3 |
CVE 2025-03-14 03:00:08.138225 |
| CVE-2024-10885 | SearchIQ - The Search Solution plugin for WordPress は、4.6 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'siq_searchbox' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 03:00:08.137486 |
| CVE-2024-11897 | WordPress 用の Contact Form, Survey & Form Builder - MightyForms プラグインは、1.3.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'mightyforms' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-14 03:00:08.136748 |
| CVE-2024-11813 | WordPress 用 Pulsating Chat Button プラグインは、1.3.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、amin_chat_button_settings_page() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新したり、 リンクをクリックするなどのアクションをサイト管理者に実行させるために、 偽装されたリクエストを経由して悪意のあるウェブスクリプトを注入することが 可能になります。 | 6.1 |
CVE 2025-03-14 03:00:08.135944 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.