WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13689 | WordPress 用 Uncode Core プラグインは、2.9.1.6 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が任意のショートコードを実行することが可能になります。 | 6.3 |
CVE 2025-05-19 03:00:05.446785 |
| CVE-2025-0817 | WordPress 用 FormCraft プラグインは、3.9.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトを、認証されていない攻撃者がページに注入することが可能になります。 | 7.2 |
CVE 2025-05-19 03:00:05.446029 |
| CVE-2025-0521 | WordPress 用 Post SMTP プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.0.2 までのすべてのバージョンにおいて、from および subject パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-05-19 03:00:05.445172 |
| CVE-2024-13797 | PressMart - Modern Elementor WooCommerce WordPress Theme は、1.2.16 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションをユーザが実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-05-19 03:00:05.444123 |
| CVE-2024-13783 | WordPress 用 FormCraft プラグインは、3.9.11 までのすべてのバージョンにおいて formcraft-main.php の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、フォーム送信から機密情報を含む可能性のあるプラグインデータをすべてエクスポートすることが可能です。 | 4.3 |
CVE 2025-05-19 03:00:05.443373 |
| CVE-2024-13691 | WordPress 用 Uncode テーマは、2.9.1.6 までのすべてのバージョンにおいて、'uncode_recordMedia' 関数の入力検証の不備により、任意のファイルを読み取られる脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバー上の任意のファイルを読み取ることが可能です。 | 6.5 |
CVE 2025-05-19 03:00:05.442440 |
| CVE-2024-13681 | WordPress 用 Uncode テーマには、2.9.1.6 までのすべてのバージョンにおいて、'uncode_admin_get_oembed' 関数の入力検証が不十分なため、任意のファイルを読み取られる脆弱性があります。このため、認証されていない攻撃者がサーバ上の任意のファイルを読み取ることが可能です。 | 7.5 |
CVE 2025-05-19 03:00:05.441692 |
| CVE-2024-13667 | WordPress 用 Uncode テーマは、2.9.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'mle-description' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-05-19 03:00:05.440970 |
| CVE-2024-13369 | WordPress 用の Tour Master - Tour Booking, Travel, Hotel プラグインは、5.3.6 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'review_id' パラメータを経由した時間ベースの SQL インジェクションに対して脆弱です。 このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能です。 | 6.5 |
CVE 2025-05-19 03:00:05.440096 |
| CVE-2024-13718 | Flexible Wishlist for WooCommerce - Ecommerce Wishlist & Save for later plugin for WordPress には、1.2.26 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、いくつかの関数で nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙ることができる偽造リクエストを介して、他のユーザのウィッシュリストを変更/更新/作成することが可能になります。 | 4.3 |
CVE 2025-05-19 03:00:05.439367 |
| CVE-2024-13395 | WordPress 用 Threepress プラグインは、1.7.1 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'threepress' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 03:00:05.438508 |
| CVE-2024-13316 | スクラッチ＆ウィン - プレゼントとコンテスト。WordPress 用の購読者、トラフィック、リピート訪問、紹介、売上などを増やすプラグインは、2.8.0 までのすべてのバージョンで apmswn_create_discount() 関数の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がクーポンを作成することが可能になります。 | 5.3 |
CVE 2025-05-19 03:00:05.437771 |
| CVE-2024-12860 | CarSpot - Dealership Wordpress Classified Theme は、2.4.3 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、プラグインがユーザーのパスワードを更新する前にトークンを適切に検証しないことが原因です。このため、認証されていない攻撃者が、管理者を含む任意のユーザのパスワードを変更し、そのユーザのアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-05-19 03:00:05.436983 |
| CVE-2025-0864 | Active Products Tables for WooCommerce.Use constructor to create tables plugin for WordPress は、1.0.6.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'shortcodes_set' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-19 03:00:05.436223 |
| CVE-2024-13795 | WordPress 用 Ecwid by Lightspeed Ecommerce Shopping Cart プラグインは、6.12.27 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、ecwid_deactivate_feedback() 関数の nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者を騙ることができる偽造リクエストを経由して、サイト所有者に代わって非活性化メッセージを送信することが可能になります。 | 4.3 |
CVE 2025-05-19 03:00:05.435463 |
| CVE-2024-13704 | WordPress 用 Super Testimonials プラグインは、4.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'st_user_title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-05-19 03:00:05.434734 |
| CVE-2024-13575 | WordPress 用プラグイン Web Stories Enhancer - Level Up Your Web Stories には、1.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'web_stories_enhancer' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 03:00:05.433971 |
| CVE-2024-13465 | WordPress 用プラグイン aBlocks - WordPress Gutenberg Blocks は、1.6.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、"Table Of Content" ブロック、特に "markerView" 属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューター・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 03:00:05.433237 |
| CVE-2024-11895 | WordPress 用の Online Payments - Get Paid with PayPal, Square & Stripe プラグインは、3.20.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 03:00:05.432445 |
| CVE-2024-11376 | WordPress 用のプラグイン s2Member - Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions は、241114 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-19 03:00:05.431588 |
| CVE-2024-13523 | WordPress 用の MemorialDay プラグインは、1.0.4 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数の nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-05-19 03:00:05.430790 |
| CVE-2024-13556 | アフィリエイトリンク：WordPress 用プラグイン Affiliate Links: WordPress Plugin for Link Cloaking and Link Management には、3.0.1 までのすべてのバージョンにおいて、ファイルエクスポートから信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがインストールされていない限り、 この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、機密データを取得したり、存在する POP チェーンに応じてコードを実行したりといったアクションを実行できる可能性があります。 | 8.1 |
CVE 2025-05-19 03:00:05.429929 |
| CVE-2024-13438 | WordPress 用 SpeedSize Image & Video AI-Optimizer プラグインは、1.5.1 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、'speedsize_clear_css_cache_action' 関数の nonce 検証の欠落または不正確さが原因です。このため、認証されていない攻撃者が、サイト管理者を騙ってリンクをクリックするなどのアクションを実行させ、偽造リクエストによってプラグインのキャッシュをクリアすることが可能になります。 | 4.3 |
CVE 2025-05-19 03:00:05.429082 |
| CVE-2024-13315 | Shopwarden - Automated WooCommerce monitoring & testing plugin for WordPress は、1.0.11 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、save_setting() 関数における nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が任意のオプションを更新し、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる偽造リクエストを経由して、権限の昇格を達成することが可能になります。 | 8.8 |
CVE 2025-05-19 03:00:05.428281 |
| CVE-2025-0805 | WordPress 用の Mortgage Calculator / Loan Calculator プラグインは、1.5.20 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'mlcalc' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-19 03:00:05.427258 |
| CVE-2025-0796 | WordPress 用 Mortgage Lead Capture System プラグインには、8.2.10 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'wprequal_reset_defaults' アクションにおける nonce 検証の欠落または不正確さに起因します。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストによって、プラグインの設定をリセットすることが可能です。 | 4.3 |
CVE 2025-05-19 03:00:05.426297 |
| CVE-2024-13852 | WordPress 用 Option Editor プラグインは、バージョン 1.0 において Cross-Site Request Forgery の脆弱性があります。これは plugin_page() 関数の nonce バリデーションが欠落しているためです。このため、認証されていない攻撃者が偽造リクエストを経由して WordPress サイト上の任意のオプションを更新することが可能で、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができます。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-05-19 03:00:05.425626 |
| CVE-2024-13848 | WordPress 用 Reaction Buttons プラグインは、2.1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-05-19 03:00:05.424914 |
| CVE-2024-13725 | WordPress 用 Keap Official Opt-in Forms プラグインは、2.0.1 までのすべてのバージョンにおいて、service パラメータを経由したローカルファイル インクルード(Local File Inclusion)の脆弱性があります。これにより、認証されていない攻撃者がサーバー上の PHP ファイルをインクルードすることが可能となり、それらのファイル内の任意の PHP コードの実行を許してしまいます。これにより、アクセス制御を回避したり、機密データを取得したり、 PHP ファイルをアップロードしたりインクルードしたりすることが可能となります。サーバー上で register_argc_argv が有効になっており、 pearcmd.php がインストールされている場合、 この問題はリモートコード実行につながる可能性があります。 | 9.8 |
CVE 2025-05-19 03:00:05.424163 |
| CVE-2024-13687 | WordPress 用 Team Builder - Meet the Team プラグインは、1.3 までのすべてのバージョンにおいて、 save_team_builder_options() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者がプラグインの設定を更新することが可能です。 | 4.3 |
CVE 2025-05-19 03:00:05.423470 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.