WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-9069 | The Graphicsly - The ultimate graphics plugin for WordPress website builder ( Gutenberg, Elementor, Beaver Builder, WPBakery ) plugin for WordPress には、1.0.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-03 03:00:07.756878 |
| CVE-2024-9068 | OneElements - Best Elementor Addons plugin for WordPress は、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-03 03:00:07.756363 |
| CVE-2024-9028 | WordPress 用 WP GPX Maps プラグインは、1.7.08 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'sgpx' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-03 03:00:07.755842 |
| CVE-2024-9027 | WordPress 用 WPZOOM Shortcodes プラグインは、1.0.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'box' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-03 03:00:07.755304 |
| CVE-2024-9024 | WordPress 用 Material Design Icons プラグインは、0.0.5 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの mdi-icon ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-03 03:00:07.754675 |
| CVE-2024-8741 | WordPress 用 Beam me up Scotty - Back to Top Button プラグインは、1.0.21 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-03 03:00:07.754077 |
| CVE-2024-8713 | WordPress 用 Kodex Posts likes プラグインは、2.5.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、任意のウェブスクリプトをページ内に注入して実行することが可能になります。 | 6.1 |
CVE 2025-01-03 03:00:07.753482 |
| CVE-2024-8621 | WordPress 用 Daily Prayer Time プラグインは、2024.08.26 までのすべてのバージョンにおいて、'quran_verse' ショートコードの 'max_word' 属性を経由した SQL インジェクションの脆弱性があります。 これは、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することを可能にします。 | 9.9 |
CVE 2025-01-03 03:00:07.752848 |
| CVE-2024-8549 | WordPress 用プラグイン Simple Calendar - Google Calendar プラグインは、3.4.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-03 03:00:07.752306 |
| CVE-2024-8485 | WordPress 用の REST API TO MiniProgram プラグインは、updateUserInfo() を経由して、4.7.1 までのすべてのバージョンにおいて、更新されるユーザーを決定する 'openid' ユーザー制御キーのバリデーションが欠落しているため、アカウント takeovr を経由した特権昇格の脆弱性があります。これにより、認証されていない攻撃者は、任意のユーザのアカウントを更新することが可能となり、そのユーザの電子メールを @weixin.com の電子メールに変更することができます。 | 9.8 |
CVE 2025-01-03 03:00:07.751731 |
| CVE-2024-8484 | WordPress 用 REST API TO MiniProgram プラグインは、4.7.1 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、/wp-json/watch-life-net/v1/comment/getcomments REST API エンドポイントの 'order' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-01-03 03:00:07.751162 |
| CVE-2024-8483 | WordPress 用 MAS Static Content プラグインは、1.0.8 までのすべてのバージョンにおいて、 static_content() 関数を経由した情報漏洩の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、プライベートな静的コンテンツページから潜在的に機密性の高い情報を引き出すことが可能になります。 | 4.3 |
CVE 2025-01-03 03:00:07.750593 |
| CVE-2024-8481 | WordPress 用 The Special Text Boxes プラグインは、6.2.2 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、プラグインが add_filter('comment_text', 'do_shortcode'); というフィルタを追加し、コメント内のすべてのショートコードを実行するためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-01-03 03:00:07.750007 |
| CVE-2024-8476 | WordPress 用 Easy PayPal Events プラグインは、1.2.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wpeevent_plugin_buttons()関数のnonceバリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者を騙すことができ、付与された偽造リクエストによって任意の投稿を削除することが可能です。 | 4.3 |
CVE 2025-01-03 03:00:07.749480 |
| CVE-2024-8434 | The Easy Mega Menu Plugin for WordPress - ThemeHunk plugin for WordPress は、1.0.9 までのすべてのバージョンにおいて、AJAX 経由でフックされるいくつかの機能の機能チェックが欠落しているため、不正アクセスに対する脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの設定を更新するようなアクションを実行することが可能になります。 | 4.3 |
CVE 2025-01-03 03:00:07.748909 |
| CVE-2024-8350 | WordPress 用 Uncanny Groups for LearnDash プラグインは、6.1.0.1 までのすべてのバージョンにおいて、/wp-json/ulgm_management/v1/add_user/ REST API エンドポイントの機能チェックが欠落しているため、ユーザーグループ追加に脆弱性があります。これにより、グループリーダーレベル以上のアクセス権を持つ、認証された攻撃者がユーザーをグループに追加することが可能となり、最終的にCVE-2024-8349を利用して、サイトへの管理者アクセスを得ることができます。 | 2.7 |
CVE 2025-01-03 03:00:07.748335 |
| CVE-2024-8349 | WordPress 用 Uncanny Groups for LearnDash プラグインは、6.1.0.1 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、プラグインがグループリーダーが編集できるユーザーを適切に制限していないことが原因です。このため、グループリーダーレベル以上のアクセス権を持つ、認証された攻撃者が管理者アカウントのメールアドレスを変更することが可能となり、その結果、管理者アカウントへのアクセスが可能となります。 | 7.2 |
CVE 2025-01-03 03:00:07.747750 |
| CVE-2024-7617 | WordPress 用 Contact Form to Any API プラグインは、1.2.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Contact Form 7 のフォームフィールドを経由した Stored Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-01-03 03:00:07.747159 |
| CVE-2024-7491 | HUSKY - Products Filter Professional for WooCommerce plugin for WordPress は、1.3.6.1 までのすべてのバージョンにおいて、ユーザー制御キー 'key' のバリデーションが欠落しているため、woof_messenger_remove_subscr AJAX アクションを経由して、安全でない直接オブジェクト参照の脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、通知を受け取るためにサインアップしたユーザのキー値を取得するか、総当たりで取得することに成功した場合、製品通知のサインアップからユーザを退会させることが可能です。この脆弱性は、プラグインのProducts Messengerエクステンションが有効になっている必要があります。 | 5.3 |
CVE 2025-01-03 03:00:07.746458 |
| CVE-2024-7426 | WordPress 用の Community by PeepSo - Social Network, Membership, Registration, User Profiles プラグインは、6.4.6.0 までのすべてのバージョンにおいて、Full Path Disclosure の脆弱性があります。これは、プラグインがエラーを表示し、sse.php ファイルへの直接アクセスを許可していることが原因です。これにより、認証されていない攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 5.3 |
CVE 2025-01-03 03:00:07.745859 |
| CVE-2024-7386 | WordPress 用プラグイン Premium Packages - Sell Digital Products Securely には、5.9.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、addRefund() 関数の nonce バリデーションが欠落しているためです。これにより、認証されていない攻撃者が、サイト管理者やショップ管理者を騙して、リンクをクリックするなどのアクションを実行させ、偽造されたリクエストを介して払い戻しを開始するなどのアクションを実行することが可能になります。 | 4.3 |
CVE 2025-01-03 03:00:07.745090 |
| CVE-2024-6590 | スプレッドシートの統合 - WordPress、WooCommerce＆最も人気のあるフォームプラグインでGoogleシートを自動化します。また、Display Google sheet as a Table. プラグイン for WordPress は、3.7.9 までのすべてのバージョンにおいて、いくつかの機能の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、投稿ステータスの編集、Google シート統合の編集、Google シート統合の作成を行うことが可能になります。 | 6.3 |
CVE 2025-01-03 03:00:07.742616 |
| CVE-2024-4305 | Post Grid Gutenberg Blocks and WordPress Blog Plugin 4.1.0以前のWordPressプラグインは、ブロックが埋め込まれているページ/投稿に出力する前に、そのブロックオプションの一部を検証およびエスケープしていないため、投稿者ロール以上のユーザがStored Cross-Site Scripting攻撃を実行できる可能性があります。 | 6.8 |
CVE 2025-01-02 23:00:07.550728 |
| CVE-2024-8919 | WordPress 用の Confetti Fall Animation プラグインには、1.3.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'confetti-fall-animation' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-02 23:00:07.419476 |
| CVE-2024-8917 | WordPress 用 AnWP Football Leagues プラグインは、0.16.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2025-01-02 23:00:07.418833 |
| CVE-2024-8914 | WordPress 用 Thanh Toán Quét Mã QR Code Tự Động - MoMo, ViettelPay, VNPay và 40 ngân hàng Việt Nam プラグインは、wp_kses_allowed_html 関数の不適切な使用により、2.0.1 までのすべてのバージョンにおいて、十分な制限やコンテキストの検証なしに特定の HTML 要素の 'onclick' 属性を許可しているため、Stored Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-01-02 23:00:07.418094 |
| CVE-2024-8801 | WordPress 用 Elementor プラグイン Happy Addons には、3.12.2 までのすべてのバージョンにおいて、Content Switcher ウィジェットを介した機密情報暴露の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、非公開、下書き、保留中のElementorテンプレートを含む機密データを抽出することが可能になります。 | 4.3 |
CVE 2025-01-02 23:00:07.417361 |
| CVE-2024-8437 | WP Easy Gallery - WordPress Gallery Plugin plugin for WordPressは、4.8.5までのすべてのバージョンにおいて、wpeg_settingsやwpeg_add_galleryのようなAJAX経由でフックされるいくつかの関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がギャラリーを変更することが可能になります。 | 4.3 |
CVE 2025-01-02 23:00:07.416628 |
| CVE-2024-8436 | WP Easy Gallery - WordPress Gallery Plugin plugin for WordPressは、4.8.5までのすべてのバージョンにおいて、'edit_imageId' および 'edit_imageDelete' パラメータを経由したSQLインジェクションの脆弱性があります。 このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能です。 | 9.9 |
CVE 2025-01-02 23:00:07.415890 |
| CVE-2024-8267 | WordPress 用プラグイン Radio Player - Live Shoutcast, Icecast and Any Audio Stream Player for WordPress は、2.0.78 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'wp:radio-player' Gutenberg ブロック内の 'align' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-02 23:00:07.415018 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.