WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-4373 | WordPressのSina Extension for Elementor (Slider, Gallery, Form, Modal, Data Table, Tab, Particle, Free Elementor Widgets & Elementor Templates)プラグインは、3.5.3までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのSina Particle Layerウィジェットを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 23:00:06.243784 |
| CVE-2024-4199 | WordPress 用 Bulk Posts Editing For WordPress プラグインは、4.2.3 までのすべてのバージョンにおいて、プラグインの AJAX アクションの機能チェックが欠落しているため、機能への不正アクセスの脆弱性があります。このため、サブスクライバ以上のアクセス権を持つ認証済みの攻撃者が、対応する機能を呼び出すことが可能です。これは、投稿の作成と複製、投稿内容の検索、投稿のタクソノミーの操作につながる可能性があります。 | 4.3 |
CVE 2024-08-22 23:00:06.243120 |
| CVE-2024-4370 | WordPress 用 WPZOOM Addons for Elementor (Templates, Widgets) プラグインは、1.1.36 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェット Image Box を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 23:00:06.242467 |
| CVE-2024-4363 | WordPress 用 Visual Portfolio, Photo Gallery & Post Grid プラグインは、3.3.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'title_tag' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、作者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 23:00:06.241782 |
| CVE-2024-0437 | WordPress 用プラグイン Password Protected - Ultimate Plugin to Password Protect Your WordPress Content with Ease には、2.6.6 までのすべてのバージョンにおいて、API を介した機密情報漏洩の脆弱性があります。これにより、サブスクライバー以上のアクセス権を持つ認証済みの攻撃者が、投稿タイトルとコンテンツを抽出し、プラグインのパスワード保護をバイパスすることが可能になります。 | 4.3 |
CVE 2024-08-22 23:00:06.240966 |
| CVE-2024-4666 | Borderless - Widgets, Elements, Templates and Toolkit for Elementor & Gutenberg plugin for WordPress には、1.5.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 23:00:06.238305 |
| CVE-2024-4860 | WordPress RSS Aggregator' WordPress プラグインのバージョン < 4.23.9 には、'notice_id' GET パラメータのサニタイズ不足によるクロスサイトスクリプティング (XSS) 脆弱性の影響があります。 | 5.4 |
CVE 2024-08-22 09:00:05.926010 |
| CVE-2024-4624 | The Essential Addons for Elementor - Best Elementor Templates, Widgets, Kits & WooCommerce Builders plugins for WordPress は、5.9.20 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'eael_ext_toc_title_tag' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.925293 |
| CVE-2024-4473 | WordPress 用のプラグイン Sydney Toolbox には、"aThemes. Portfolio" ウィジェットを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります：1.31までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、"Portfolio "ウィジェットを経由したストアド・クロスサイト・スクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.924546 |
| CVE-2024-4445 | WordPress 用プラグイン WP Compress - Image Optimizer [All-In-One] には、6.20.01 までのバージョンにおいて、いくつかの機能のチェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上の権限を持つ認証済みの攻撃者が、マルチサイト環境でクロスサイトスクリプティングの保存を含むプラグインの設定を編集することが可能になります。 | 6.5 |
CVE 2024-08-22 09:00:05.923933 |
| CVE-2024-4440 | 140+ Widgets | Best Addons For Elementor - FREE plugin for WordPress は、1.4.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.923351 |
| CVE-2024-4392 | Jetpack - WP Security, Backup, Speed, & Growth plugin for WordPress は、13.3.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの wpvideo ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.922768 |
| CVE-2024-4333 | WordPress 用 Sina Extension for Elementor (Slider, Gallery, Form, Modal, Data Table, Tab, Particle, Free Elementor Widgets & Elementor Templates) プラグインには、入力のサニタイズと出力のエスケープが不十分なため、3.5.3 までのバージョンにおいて、いくつかのパラメータを経由した DOM ベースのクロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.922191 |
| CVE-2024-4144 | WordPress 用 Simple Basic Contact Form プラグインは、20240502 までの全てのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。深刻度と悪用可能性は、環境にインストールされている他のプラグインの機能に依存します。 | 6.5 |
CVE 2024-08-22 09:00:05.921558 |
| CVE-2024-0870 | WordPress 用 YITH WooCommerce Gift Cards プラグインは、4.12.0 までのすべてのバージョンにおいて、'save_mail_status' および 'save_email_settings' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がWooCommerceの設定を変更することが可能になります。 | 5.3 |
CVE 2024-08-22 09:00:05.921036 |
| CVE-2023-6812 | WP Compress - Image Optimizer [All-In-One plugin for WordPress] には、6.20.01 までのすべてのバージョンで Open Redirect の脆弱性があります。これは、'css' パラメータ経由で提供されるリダイレクト URL の検証が不十分なためです。これにより、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトにリダイレクトさせることが可能になります。 | 4.3 |
CVE 2024-08-22 09:00:05.920451 |
| CVE-2024-4630 | Starter Templates - Elementor, WordPress & Beaver Builder Templates plugin for WordPress は、4.2.0 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'custom_upload_mimes' 関数を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.919878 |
| CVE-2024-4605 | WordPress 用 Breakdance プラグインには、1.7.1 までのすべてのバージョンにおいて、投稿のメタデータを経由したリモートコード実行の脆弱性があります。これは、プラグインがカスタムデータをアンダースコアの接頭辞なしでメタデータに保存することに起因します。これにより、投稿者のような権限の低いユーザがUI経由でこのデータを編集することが可能になってしまいます。その結果、彼らは特権を昇格させたり、任意のコードを実行したりすることができます。 | 8.8 |
CVE 2024-08-22 09:00:05.919292 |
| CVE-2024-4574 | Graphina - Elementor Charts and Graphs plugin for WordPress には、1.8.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.918687 |
| CVE-2024-4567 | WordPress 用 Themify Shortcodes プラグインは、2.0.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの themify_button ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.918053 |
| CVE-2024-4560 | Kognetiks Chatbot for WordPress プラグインは、1.9.9 までの全てのバージョンにおいて、 chatbot_chatgpt_upload_file_to_assistant 関数にファイルタイプ検証の欠落があるため、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2024-08-22 09:00:05.917405 |
| CVE-2024-4490 | Elegant Themes の WordPress 用 Divi テーマ、Extra テーマ、および Divi Page Builder プラグインには、4.25.0 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、「title」パラメータを介した DOM ベースの蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.916734 |
| CVE-2024-4487 | WordPress 用 Blocksy Companion プラグインは、2.0.45 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG アップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.916131 |
| CVE-2024-4481 | Gutenberg Blocks with AI by Kadence WP plugin for WordPress は、3.2.36 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのブロックの 'link' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2024-08-22 09:00:05.915460 |
| CVE-2024-4463 | WordPress 用 Squelch Tabs and Accordions Shortcodes プラグインは、0.4.7 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、プラグインの設定を保存する際のnonceバリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができ、付与された偽造リクエストによってプラグインの設定を変更することが可能になります。 | 4.3 |
CVE 2024-08-22 09:00:05.914867 |
| CVE-2024-4449 | Essential Addons for Elementor - Best Elementor Templates, Widgets, Kits & WooCommerce Builders plugin for WordPress は、5.9.19 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'Fancy Text', 'Filter Gallery', 'Sticky Video', 'Content Ticker', 'Woo Product Gallery', 'Twitter Feed' ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.914168 |
| CVE-2024-4448 | Essential Addons for Elementor - Best Elementor Templates, Widgets, Kits & WooCommerce Builders plugin for WordPress は、5.9.19 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'Dual Color Header'、'Event Calendar'、'Advanced Data Table' ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.5 |
CVE 2024-08-22 09:00:05.913460 |
| CVE-2024-4446 | WordPress 用 Content Views - Post Grid & Filter, Recent Posts, Category Posts, & More (Gutenberg Blocks and Shortcode) プラグインは、3.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'pagingType' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-08-22 09:00:05.912735 |
| CVE-2024-4444 | WordPress 用プラグイン LearnPress - WordPress LMS プラグインは、4.2.6.5 までのバージョンにおいて、ユーザー登録に対するバイパスの脆弱性があります。これは、チェックアウトの「create_account」関数のチェックが欠落しているためです。これにより、登録が無効化されている場合でも、認証されていない攻撃者がサイトのデフォルトロールとして登録することが可能になります。 | 5.3 |
CVE 2024-08-22 09:00:05.911805 |
| CVE-2024-4441 | WordPress 用の XML Sitemap & Google News プラグインは、5.4.8 までのすべてのバージョンにおいて、'feed' パラメータを経由したローカルファイル インクルード (Local File Inclusion) の脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のファイルをインクルードして実行することが可能になり、そのファイル内の任意の PHP コードの実行が可能になります。これにより、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードした場合に コードを実行したりすることが可能になります。 | 8.1 |
CVE 2024-08-22 09:00:05.911154 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.