WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-10488 | Directorist：WordPress 用の AI-Powered Business Directory Plugin with Classified Ads Listings プラグインは、8.4.8 までのすべてのバージョンにおいて、add_listing_action AJAX アクションにおけるファイルパスの検証が不十分なため、任意のファイルを移動される脆弱性があります。このため、認証されていない攻撃者がサーバー上の任意のファイルを移動することが可能で、適切なファイル（wp-config.php など）が移動されると、簡単にリモートでコードが実行される可能性があります。 | 8.1 |
CVE 2026-02-02 03:00:05.495997 |
| CVE-2025-8666 | WordPress 用 Testimonial Carousel For Elementor プラグインは、入力のサニタイズと出力のエスケープが不十分なため、11.6.2 以下のバージョンにおいて、複数のパラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-02 03:00:05.495377 |
| CVE-2025-8588 | WordPress 用 Gutenberg Blocks - PublishPress Blocks プラグインは、3.3.4 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Maps ブロックの 'Marker Title' および 'Marker Description' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-02 03:00:05.494473 |
| CVE-2025-8413 | WordPress 用 Listeo テーマは、2.0.8 以下のバージョンのプラグインの `soundcloud` ショートコードを介して、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、保存されたクロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-02 03:00:05.493554 |
| CVE-2025-6680 | WordPress 用の e ラーニングおよびオンラインコースソリューションプラグイン Tutor LMS には、3.8.3 までのすべてのバージョンにおいて、機密情報漏洩の脆弱性があります。これにより、チューターレベル以上のアクセス権を持つ認証された攻撃者が、機密情報を含む可能性のある、自分が教えていないコースの課題を閲覧することが可能になります。 | 4.3 |
CVE 2026-02-02 03:00:05.492704 |
| CVE-2025-6639 | Tutor LMS Pro - WordPress 用の e ラーニングおよびオンラインコースソリューションプラグインは、tutor_assignment_submit() 関数を通して課題を閲覧および編集する際に、ユーザが制御するキーのバリデーションが欠落しているため、3.8.3 までのすべてのバージョンにおいて、Insecure Direct Object Reference の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者が、他の学生の課題提出を閲覧および編集することが可能になります。 | 5.4 |
CVE 2026-02-02 03:00:05.492110 |
| CVE-2025-12095 | WordPress 用 Simple Registration for WooCommerce プラグインには、1.5.8 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これはincludes/display-role-admin.phpファイルのrole requests admin page handlerのnonceバリデーションが欠落しているためです。これにより、未認証の攻撃者が保留中のロールリクエストを承認し、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることができる、 偽装されたリクエストによってユーザ権限を昇格させることが可能になります。 | 8.8 |
CVE 2026-02-02 03:00:05.491192 |
| CVE-2025-12005 | WordPress 用プラグイン WP VR - 360 Panorama and Free Virtual Tour Builder For WordPress には、8.5.41 までのすべてのバージョンにおいて、データへの不正アクセスの脆弱性があります。これは、プラグインがユーザーがアクションを実行する権限があるかどうかを適切に検証していないことが原因です。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、機密性の高いプラグインオプションを変更することが可能になります。 | 4.3 |
CVE 2026-02-02 03:00:05.490336 |
| CVE-2025-11888 | ShopEngine Elementor WooCommerce Builder Addon - All in One WooCommerce Solution plugin for WordPress には、4.8.4 までのすべてのバージョンにおいて、post_deactive() 関数と post_activate() 関数の機能チェックが不十分なため、データが不正に変更される脆弱性があります。このため、Editor レベル以上のアクセス権を持つ認証済みの攻撃者が、ライセンスを有効化および無効化することが可能です。 | 2.7 |
CVE 2026-02-02 03:00:05.489296 |
| CVE-2025-11879 | WordPress 用 GenerateBlocks プラグインは、2.1.1 までのすべてのバージョンにおいて、'get_option_rest' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、SMTP 認証情報、API キー、他のプラグインによって保存されたその他のデータなどの機密情報を含む、任意の WordPress オプションを読み取ることが可能になります。 | 6.5 |
CVE 2026-02-02 03:00:05.488082 |
| CVE-2025-11564 | Tutor LMS - WordPress 用 e ラーニングおよびオンラインコースソリューションプラグインは、"verifyAndCreateOrderData" 関数でウェブフックの署名を検証する際の機能チェックが欠落しているため、データが不正に変更される脆弱性があります。 のウェブフック署名を検証する際のケイパビリティチェックが欠落しています。このため、認証されていない攻撃者は、`payment_type` を 'recurring' に設定した偽造 Webhook リクエストを送信することで、支払い検証を回避し、注文を支払い済みとしてマークすることが可能です。 | 5.3 |
CVE 2026-02-02 03:00:05.487038 |
| CVE-2025-11269 | WordPress 用の Product Filter by WBW プラグインは、3.0.0 までのすべてのバージョンにおいて、'approveNotice' アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。 このため、認証されていない攻撃者がプラグインの設定を更新することが可能です。 | 5.3 |
CVE 2026-02-02 03:00:05.486112 |
| CVE-2025-11244 | WordPress 用 Password Protected プラグインは、2.7.11 までのすべてのバージョンにおいて、IP アドレスのなりすましによる認証バイパスに対して脆弱です。これは、"Use transients" 機能が有効になっているときに、`pp_get_ip_address()` 関数でユーザの IP アドレスを決定するために、プラグインがクライアント制御の HTTP ヘッダ（X-Forwarded-For、HTTP_CLIENT_IP、および同様のヘッダなど）を信頼するためです。このため、"Use transients" オプションが有効で (デフォルト以外の設定)、かつサイトがこれらのヘッダを上書きする CDN やリバースプロキシの背後にない場合、攻撃者はこれらのヘッダを正規に認証されたユーザの IP アドレスに偽装することで、認証をバイパスすることができます。 | 3.7 |
CVE 2026-02-02 03:00:05.485206 |
| CVE-2025-11238 | WordPress 用 Watu Quiz プラグインは、3.4.4 以下のバージョンにおいて、"Save source URL" オプションを有効にした際の入力サニタイズと出力エスケープが不十分なため、HTTP Referer ヘッダを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2026-02-02 03:00:05.484511 |
| CVE-2025-10737 | WordPress 用のオープンソース Genesis Framework テーマには、3.6.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、テーマのショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-02 03:00:05.483118 |
| CVE-2025-10694 | User Feedback - Create Interactive Feedback Form, User Surveys, and Polls in Seconds for WordPress プラグインは、1.8.0 までのすべてのバージョンにおいて、 `maybe_load_onboarding_wizard` 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がオンボーディングウィザードページにアクセスし、管理者メールアドレスを含む設定情報を閲覧することが可能になります。 | 5.3 |
CVE 2026-02-02 03:00:05.482119 |
| CVE-2025-11823 | ShopLentor - WooCommerce Builder for Elementor & Gutenberg +21 Modules - All in One Solution plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、3.2.4 までのすべてのバージョンにおいて、'wishsuite_button' ショートコードの 'button_exist_text' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-02 03:00:05.481167 |
| CVE-2025-10579 | WordPress用プラグインBackWPup - WordPress Backup & Restore Pluginは、5.5.0までのすべてのバージョンにおいて、'backwpup_working' AJAXアクションの機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、サブスクライバ・レベル以上のアクセス権を持つ認証済みの攻撃者が、バックアップの実行中にバックアップのファイル名へのアクセスを取得することが可能になります。この情報自体にはほとんど価値はありませんが、限られた環境（NGINXなど）でバックアップの内容を取得するための総当たり攻撃に使用できる可能性があります。 | 5.3 |
CVE 2026-02-02 03:00:05.471767 |
| CVE-2025-11760 | eRoom - Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams plugin for WordPress には、1.5.6 までのすべてのバージョンにおいて、機密情報が漏洩する脆弱性があります。これは、このプラグインが会議ビューテンプレート内のクライアントサイドJavaScriptでZoom SDKのシークレットキーを公開していることが原因です。これにより、認証されていない攻撃者が、サーバー側に残すべき sdk_secret 値を抽出することが可能となり、Zoom 統合のセキュリティが損なわれ、攻撃者が不正な会議アクセスのために有効な JWT シグネチャを生成できるようになります。 | 5.3 |
CVE 2026-02-01 23:00:09.388542 |
| CVE-2025-11576 | AI Chatbot Free Models - Customer Support, Live Chat, Virtual Assistant plugin for WordPress には、1.6.5 までのすべてのバージョンにおいて CSV インジェクションの脆弱性があります。これは 'newcodebyte_chatbot_export_messages' 関数のサニタイズが不十分なためです。これにより、認証されていない攻撃者が、エクスポートされた CSV ファイルに信頼されていない入力を埋め込むことが可能となり、これらのファイルがダウンロードされ、脆弱な設定を持つローカルシステムで開かれた場合、コードが実行される可能性があります。 | 4.3 |
CVE 2026-02-01 09:00:13.243577 |
| CVE-2025-10861 | WordPress 用 Popup builder with Gamification, Multi-Step Popups, Page-Level Targeting, and WooCommerce Triggers プラグインは、2.1.4 までのすべてのバージョンにおいて Server-Side Request Forgery の脆弱性があります。これは URL パラメータで提供される URL のバリデーションが不十分なためです。これにより、認証されていない攻撃者がウェブアプリケーションを起点として任意の場所にウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更、ネットワーク偵察に利用される可能性があります。この脆弱性はバージョン 2.1.4 で部分的に修正されました。 | 7.5 |
CVE 2026-02-01 09:00:13.242199 |
| CVE-2025-12136 | リアルクッキーバナー：WordPress 用の GDPR & ePrivacy Cookie Consent プラグインは、5.2.4 までのすべてのバージョンにおいて Server-Side Request Forgery の脆弱性があります。これは、'/scanner/scan-without-login' REST API エンドポイントでユーザーが提供する URL の検証が不十分なためです。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点として任意の場所にウェブリクエストを行うことが可能になり、`url`パラメータを介して内部サービスの情報を照会および変更するために使用される可能性があります。 | 6.8 |
CVE 2026-02-01 09:00:13.241265 |
| CVE-2025-12134 | ZoloBlocks - Gutenberg Block Editor Plugin with Advanced Blocks, Dynamic Content, Templates & Patterns plugin for WordPress は、2.3.11 までのすべてのバージョンにおいて、update_popup_status() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がポップアップを有効/無効にできる可能性があります。 | 5.3 |
CVE 2026-02-01 09:00:13.235142 |
| CVE-2025-12096 | WordPress 用 WooCommerce プラグイン Simple Excel Pricelist for WooCommerce には、1.13 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、'pricelist' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。このため、コントリビュータ・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-02-01 09:00:13.234331 |
| CVE-2025-12072 | WordPress 用 Disable Content Editor For Specific Template プラグインは、2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、テンプレート設定の更新における nonce 検証の欠落によるものです。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するよう管理者をだますことができる、偽造されたリクエストを使用して、テンプレートの設定を追加または削除することが可能になります。 | 4.3 |
CVE 2026-02-01 09:00:13.233744 |
| CVE-2025-12028 | WordPress 用 IndieAuth プラグインには、4.5.4 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは `login_form_indieauth()` 関数と wp-login.php?action=indieauth の認可エンドポイントにおける nonce 検証の欠落によるものです。このため、認証されていない攻撃者は、攻撃者が管理するアプリケーションの OAuth 認証リクエストを認証済みユーザに承認させるために、ログイン中にリンクをクリックしたり、悪意のあるページにアクセスしたりといったアクションを実行するようにユーザを騙すことができます。攻撃者は、盗んだ認証コードをアクセストークンと交換することで、付与されたスコープ(作成、更新、削除)で被害者のアカウントを効果的に乗っ取ることができます。 | 8.8 |
CVE 2026-02-01 09:00:13.232775 |
| CVE-2025-12017 | VNPAY Payment gateway plugin for WordPress は、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'message' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2026-02-01 09:00:13.231677 |
| CVE-2025-12016 | WordPress 用 qnotsquiz プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'qnotsquiz_custom_start_text' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2026-02-01 09:00:13.230707 |
| CVE-2025-12014 | WordPress 用 NGINX Cache Optimizer プラグインは、1.1 までのすべてのバージョンにおいて、'nginxcacheoptimizer-blacklist-update' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、動的キャッシュからURLを除外する設定にURLを追加することが可能になります。 | 4.3 |
CVE 2026-02-01 09:00:13.229767 |
| CVE-2025-11992 | WordPress 用 Multi Item Responsive Slider プラグインには、1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'mioptions.php' ページでの nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2026-02-01 09:00:13.229096 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.