WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8103 | WordPress 用の WP Category Dropdown プラグインは、1.8 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'align' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-02 23:00:07.414024 |
| CVE-2023-5359 | WordPress 用の W3 Total Cache プラグインは、2.7.5 までのバージョンにおいて、一般に公開されているプラグインソースに平文で保存されている Google OAuth API の秘密を経由して、機密情報を暴露される脆弱性があります。これにより、認証されていない攻撃者が W3 Total Cache になりすまし、成功した場合にユーザーアカウント情報にアクセスできる可能性があります。WordPress のユーザーサイトへの影響はありません。 | 3.7 |
CVE 2025-01-02 23:00:07.411704 |
| CVE-2024-8794 | WordPress 用 BA Book Everything プラグインは、1.6.20 までのすべてのバージョンにおいて、任意のパスワードリセットに対して脆弱です。これは、reset_user_password() 関数がパスワードを設定する前にユーザの身元を確認しないことが原因です。このため、認証されていない攻撃者が、管理者を含むあらゆるユーザーのパスワードをリセットすることが可能になってしまう。攻撃者は生成されたパスワードにアクセスできないため、特権の昇格は不可能であることに注意することが重要です。 | 5.3 |
CVE 2025-01-02 03:00:07.055936 |
| CVE-2024-8791 | Donation Forms by Charitable - Donations Plugin & Fundraising Platform for WordPress plugin for WordPress には、1.8.1.14 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、update_core_user() 関数で ID パラメータが提供されたときに、プラグインがユーザの身元を適切に検証しないことが原因です。このため、認証されていない攻撃者が、管理者を含む任意のユーザーアカウントのメールアドレスとパスワードを更新し、そのユーザーアカウントにログインするために使用することが可能です。 | 9.8 |
CVE 2025-01-02 03:00:07.055280 |
| CVE-2024-8671 | WooEvents - Calendar and Event Booking plugin for WordPress は、4.1.2 までのすべてのバージョンにおいて、inc/barcode.php ファイルのファイルパス検証が不十分なため、任意のファイルを上書きする脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルを上書きすることが可能となり、適切なファイル（wp-config.php など）が削除された場合にリモートでコードが実行される可能性があります。 | 9.1 |
CVE 2025-01-02 03:00:07.054629 |
| CVE-2024-8628 | MailOptin プラグイン（WordPress 用）は、1.2.70.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'post-meta' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-01-02 03:00:07.053973 |
| CVE-2024-8624 | WordPress 用 MDTF - Meta Data and Taxonomies Filter プラグインは、1.3.3.3 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリに十分な準備がないため、'mdf_select_title' ショートコードの 'meta_key' 属性を経由した SQL インジェクションの脆弱性があります。 このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 9.9 |
CVE 2025-01-02 03:00:07.053259 |
| CVE-2024-8623 | WordPress 用 MDTF - Meta Data and Taxonomies Filter プラグインは、1.3.3.3 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-01-02 03:00:07.052508 |
| CVE-2022-2439 | WordPress 用の Easy Digital Downloads - Simple eCommerce for Selling Digital Files プラグインは、3.3.3 までのバージョンにおいて、'upload[file]' パラメータ経由で信頼できない入力をデシリアライズする脆弱性があります。このため、認証された管理者ユーザが PHAR ラッパーを使用してファイルを呼び出すことが可能となり、 POP チェーンが存在する場合に、任意の PHP オブジェクトをデシリアライズして呼び出すことができます。 | 7.2 |
CVE 2025-01-02 03:00:07.049866 |
| CVE-2024-5744 | 10.6.7以前のwp-eMember WordPressプラグインでは、$_SERVER['REQUEST_URI']パラメータをエスケープしてから属性に出力していないため、古いウェブブラウザでReflected Cross-Site Scriptingが発生する可能性があります。 | 6.8 |
CVE 2025-01-01 23:00:04.510181 |
| CVE-2024-8795 | WordPress 用 BA Book Everything プラグインには、1.6.20 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、my_account_update() 関数における nonce バリデーションの欠落または不正確さが原因です。このため、認証されていない攻撃者が、サイト管理者を騙ってリンクをクリックするなどのアクションを実行させ、偽のリクエストでユーザのアカウント詳細を更新することが可能です。これを利用して、ユーザのパスワードをリセットし、アカウントにアクセスすることができます。 | 8.8 |
CVE 2025-01-01 23:00:04.373392 |
| CVE-2024-8738 | WordPress 用の Seriously Simple Stats プラグインは、1.6.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.372799 |
| CVE-2024-8716 | WordPress 用プラグイン XT Ajax Add To Cart for WooCommerce は、1.1.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.372179 |
| CVE-2024-8662 | WordPress 用 Koko Analytics プラグインは、1.3.12 までのすべてのバージョンにおいて、URL に適切なエスケープを施さずに add_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.371442 |
| CVE-2024-8657 | WordPress 用 Garden Gnome Package プラグインは、2.2.9 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが 不十分であるため、プラグインの ggpkg ショートコードを経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-01 23:00:04.370774 |
| CVE-2024-8544 | WordPress 用 Pixel Cat - Conversion Pixel Manager プラグインは、3.0.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.370006 |
| CVE-2024-8432 | Appointment & Event Booking Calendar Plugin - Webba Booking plugin for WordPress は、5.0.48 までのすべてのバージョンにおいて、 save_appearance() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、予約フォームのCSSを変更することが可能です。 | 4.3 |
CVE 2025-01-01 23:00:04.366733 |
| CVE-2024-5284 | 6.5.1 より前の wp-affiliate-platform WordPress プラグインには CSRF チェックがない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者に CSRF 攻撃で Stored XSS ペイロードを追加させることができる。 | 6.8 |
CVE 2025-01-01 03:00:05.418483 |
| CVE-2024-8758 | 9.1.3より前のQuiz and Survey Master (QSM) WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーが（マルチサイト設定などで）ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-01-01 03:00:05.246664 |
| CVE-2024-5077 | 10.6.6より前のwp-eMember WordPressプラグインは、CSRFチェックをいくつかの場所で行っておらず、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができる。 | 6.8 |
CVE 2024-12-31 23:00:07.981688 |
| CVE-2024-7863 | 2.1以前のFavicon Generator (CLOSED) WordPressプラグインは、アップロードされるファイルを検証せず、CSRFチェックも行っていないため、攻撃者はログインした管理者にサーバー上のPHPなどの任意のファイルをアップロードさせることができる。 | 6.8 |
CVE 2024-12-31 09:00:08.140087 |
| CVE-2024-5784 | WordPress 用 Tutor LMS Pro プラグインは、2.7.2 までのすべてのバージョンにおいて、treport_quiz_atttempt_delete や tutor_gc_class_action のような複数の関数の機能チェックが欠落しているため、無許可で管理者操作を実行される脆弱性があります。これにより、購読者レベル以上のアクセス権を持つ認証された攻撃者が、コメントや投稿、ユーザーの削除、通知の閲覧など、サイト上の管理操作を実行することが可能になってしまいます。 | 7.1 |
CVE 2024-12-30 23:00:08.461653 |
| CVE-2024-5715 | 10.6.7以前のwp-eMember WordPressプラグインは、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしていません。 | 7.1 |
CVE 2024-12-30 09:00:10.638405 |
| CVE-2024-8680 | WordPress 用プラグイン MC4WP: Mailchimp for WordPress には、4.9.16 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2024-12-30 09:00:10.516442 |
| CVE-2024-5151 | 4.3.1以前のSULly WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 7.1 |
CVE 2024-12-30 03:00:05.332623 |
| CVE-2024-43256 | この問題は、n/a から 2.0.36 までの Leopard - WordPress オフロードメディアに影響します。 | 7.1 |
CVE 2024-12-29 23:00:06.476929 |
| CVE-2024-5472 | 3.8.7より前のWP QuickLaTeX WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 7.1 |
CVE 2024-12-29 09:00:07.622116 |
| CVE-2024-6000 | WordPress 用 FooEvents for WooCommerce プラグインは、1.19.20 までのバージョンにおいて、'display_ticket_themes_page' 関数の不適切な機能設定により、無許可で任意のファイルをアップロードされる脆弱性があります。これにより、投稿者レベル以上の能力を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。この問題は 1.19.20 で部分的に修正され、1.19.21 で完全に修正されました。 | 7.1 |
CVE 2024-12-29 03:00:07.304485 |
| CVE-2024-8853 | WordPress 用の Webo-facto プラグインは、1.40 までのバージョンにおいて、 'doSsoAuthentification' 関数の制限が不十分なため、特権昇格の脆弱性があります。これにより、認証されていない攻撃者が '-wfuser' を含むユーザ名で登録することで、自分自身を管理者にすることが可能になります。 | 9.8 |
CVE 2024-12-29 03:00:07.119498 |
| CVE-2024-5287 | 6.5.1 より前の wp-affiliate-platform WordPress プラグインでは、設定を更新する際に CSRF チェックが行われていないため、攻撃者はログインしているユーザーに CSRF 攻撃で設定を変更させることができます。 | 7.1 |
CVE 2024-12-28 03:00:06.092659 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.