WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-6852 | 0.1.12までのWP MultiTasking WordPressプラグインは、設定を更新する際にCSRFチェックが行われていないため、CSRF攻撃によってログインした管理者に設定を変更させられる可能性がある。 | 4.3 |
CVE 2024-12-17 03:00:32.986101 |
| CVE-2024-7620 | WordPress 用 Customizer Export/Import プラグインは、0.9.7 までのすべてのバージョンにおいて、'_import' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。注：この脆弱性は、アップロードされたファイルが作成された直後に削除されるため、レースコンディションと併用された場合にのみ悪用可能です。 | 6.6 |
CVE 2024-12-16 09:00:13.236831 |
| CVE-2024-7112 | Pinpoint Booking System - #1 WordPress Booking Plugin plugin for WordPress は、2.9.9.5.0 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'schedule' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者は、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 8.8 |
CVE 2024-12-16 09:00:13.236197 |
| CVE-2024-6010 | WordPress 用の Cost Calculator Builder PRO プラグインは、3.2.1 までのすべてのバージョンにおいて、価格を操作される脆弱性があります。これは、Cost Calculator Builderプラグインから呼び出される'create_cc_order'関数によって、処理前に価格フィールドが操作されることをプラグインが許可しているためです。これにより、認証されていない攻撃者が計算機経由で送信された注文の価格を操作することが可能となる。注：この脆弱性は、Cost Calculator Builder バージョン 3.2.17 のリリースで部分的に修正されました。 | 5.3 |
CVE 2024-12-16 09:00:13.235511 |
| CVE-2024-1596 | WordPress 用 Ninja Forms - File Uploads プラグインは、3.3.16 までのすべてのバージョンにおいて、 入力サニタイズと出力エスケープが不十分なため、アップロードされたファイル (例: RTX ファイル) を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2024-12-16 09:00:13.234676 |
| CVE-2024-8538 | WordPress 用のプラグイン Big File Uploads - Increase Maximum File Upload Size には、2.1.2 までのすべてのバージョンにおいて、フルパス開示の脆弱性があります。これは、プラグインがエラーメッセージのファイルパスをサニタイズしていないことが原因です。このため、作者レベル以上のアクセス権を持つ、認証された攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 4.3 |
CVE 2024-12-16 09:00:13.233583 |
| CVE-2024-6849 | WordPress 用プラグイン Preloader Plus - WordPress Loading Screen Plugin には、2.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能です。 | 6.4 |
CVE 2024-12-16 09:00:13.230894 |
| CVE-2024-8428 | WordPress 用の ForumWP - Forum & Discussion Board Plugin プラグインは、2.0.2 までのすべてのバージョンにおいて、ユーザ制御キー 'user_id' のバリデーションが欠落しているため、submit_form_handler を経由した安全でない直接オブジェクト参照による特権昇格の脆弱性があります。これにより、サブスクライバ・レベル以上のアクセス権を持つ、認証された攻撃者が、管理ユーザ・アカウントの電子メールアドレスを変更することが可能となり、これを利用して管理ユーザのパスワードをリセットし、そのアカウントにアクセスすることができます。 | 8.8 |
CVE 2024-12-15 09:00:06.785702 |
| CVE-2024-7622 | WordPress 用の Revision Manager TMC プラグインは、2.8.19 までのすべてのバージョンにおいて、_a_ajaxQuickEmailTestCallback() 関数の機能チェックが欠落しているため、無許可で任意のメールを送信される脆弱性があります。これにより、サブスクライバ・レベル以上のアクセス権を持つ認証済みの攻撃者が、脆弱なウェブ・サーバを経由して、任意の個人に対して任意の内容の電子メールを送信することが可能となります。 | 4.3 |
CVE 2024-12-15 09:00:06.784994 |
| CVE-2024-7611 | Enter Addons - Ultimate Template Builder for Elementor plugin for WordPress は、2.1.8 までのすべてのバージョンにおいて、イベントカードウィジェットの 'tag' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-15 09:00:06.784321 |
| CVE-2024-7599 | WordPress 用 Advanced Sermons プラグインは、3.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'sermon_video_embed' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-15 09:00:06.783555 |
| CVE-2024-7493 | WordPress 用 WPCOM Member プラグインは、1.5.2.1 までのすべてのバージョンにおいて、特権昇格の脆弱性があります。これは、プラグインが登録時に wp_insert_user() に任意のデータを渡すことを許可しているためです。これにより、認証されていない攻撃者が登録中に自分のロールを管理者のものに更新することが可能になります。 | 9.8 |
CVE 2024-12-15 09:00:06.781018 |
| CVE-2024-8427 | WordPress 用プラグイン Frontend Post Submission Manager Lite - Frontend Posting WordPress Plugin には、1.2.2 までのすべてのバージョンにおいて、save_global_settings 関数と process_form_edit 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの設定やフォームを更新することが可能です。 | 4.3 |
CVE 2024-12-15 03:00:04.712101 |
| CVE-2024-8317 | WordPress 用 WP AdCenter - Ad Manager & Adsense Ads プラグインは、2.5.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'ad_alignment' 属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-15 03:00:04.711417 |
| CVE-2024-8292 | WordPress 用 WP-Recall - Registration, Profile, Commerce & More プラグインは、16.26.8 までのすべてのバージョンにおいて、特権の昇格/アカウント乗っ取りの脆弱性があります。これは、新規注文作成時にプラグインがユーザの身元を適切に検証しないことに起因します。このため、認証されていない攻撃者が user_email フィールドに任意の電子メールを入力し、新規注文作成時にそのユーザのパスワードを更新することが可能です。この問題を悪用するには、コマースアドオンが有効になっている必要があります。 | 9.8 |
CVE 2024-12-15 03:00:04.710766 |
| CVE-2024-7349 | LifterLMS - WP LMS for e-Learning, Online Courses, & Quizzes plugin for WordPress は、7.7.5 までのすべてのバージョンにおいて、'order' パラメータを経由したブラインド SQL インジェクションの脆弱性があります。 これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 7.2 |
CVE 2024-12-15 03:00:04.710059 |
| CVE-2024-6792 | 4.7.2.1より前のWP ULike WordPressプラグインは、公開ページでレンダリングする際にユーザーの表示名を適切にサニタイズしません。 | 3.5 |
CVE 2024-12-15 03:00:04.708766 |
| CVE-2024-8480 | WordPress 用 Image Optimizer, Resizer and CDN - Sirv プラグインは、7.2.7 までのすべてのバージョンにおいて、'sirv_save_prevented_sizes' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者は、適切なファイルタイプの検証を欠く 'sirv_upload_file_by_chunks_callback' 関数を悪用することで、攻撃者が影響を受けるサイトのサーバ上に任意のファイルをアップロードし、リモートでコードを実行できる可能性があります。 | 8.8 |
CVE 2024-12-15 03:00:04.707804 |
| CVE-2024-8247 | WordPress 用の Newsletters プラグインには、4.9.9.2 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、プラグインが画面オプションとして更新可能なユーザメタを制限していないためです。このため、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が管理者権限に昇格することが可能です。これは、画面オプションの編集/更新にアクセスできるユーザにのみ影響することに注意してください。つまり、これを悪用するためには、管理者がより低い権限のユーザにプラグインの送信済み/下書きメールページへのアクセスを許可する必要があります。 | 8.8 |
CVE 2024-12-15 03:00:04.707039 |
| CVE-2024-7415 | WordPress 用の Remember Me Controls プラグインは、2.0.1 までのすべてのバージョンにおいて、フルパス開示の脆弱性があります。これは、このプラグインが、display_errors が有効になっている bootstrap.php ファイルへの直接アクセスを許可しているためです。これにより、認証されていない攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 5.3 |
CVE 2024-12-15 03:00:04.701054 |
| CVE-2024-7605 | WordPress 用 HelloAsso プラグインは、1.1.10 までのすべてのバージョンにおいて、'ha_ajax' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者がプラグインのオプションを更新することが可能となり、サービスを中断させる可能性があります。 | 4.3 |
CVE 2024-12-14 09:00:05.504044 |
| CVE-2024-7381 | WordPress 用 Geo Controller プラグインは、8.6.9 までのすべてのバージョンにおいて、ajax__shortcode_cache 関数の認可および機能チェックが欠落しているため、ショートコードを不正に実行される脆弱性があります。これにより、認証されていない攻撃者がターゲットサイトで利用可能な任意のショートコードを実行することが可能になります。 | 5.3 |
CVE 2024-12-14 09:00:05.503473 |
| CVE-2024-7380 | WordPress 用 Geo Controller プラグインは、8.6.9 までのすべてのバージョンで ajax__geolocate_menu および ajax__geolocate_remove_menu 関数の機能チェックが欠落しているため、不正なメニュー作成/削除の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ、認証された攻撃者がWordPressのメニューを作成または削除することが可能になります。 | 4.3 |
CVE 2024-12-14 09:00:05.502889 |
| CVE-2022-4529 | WordPressのSecurity, Antivirus, Firewall - S.A.Fプラグインは、2.3.5までのバージョンにおいて、IPアドレス詐称の脆弱性があります。これは、リクエストロギングとログイン制限のために IP アドレス情報を取得する場所の制限が不十分なためです。攻撃者は X-Forwarded-For ヘッダにログに記録される別の IP アドレスを入力することができ、IP アドレスによるログインをブロックする設定を回避することができます。 | 5.3 |
CVE 2024-12-14 09:00:05.502182 |
| CVE-2022-3556 | WordPress 用のタクシー料金計算プラグインは、1.1.6 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、車両タイトルの設定を経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2024-12-14 09:00:05.501441 |
| CVE-2024-6929 | WordPress 用の Dynamic Featured Image プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.7.0 までのすべてのバージョンにおいて、'dfiFeatured' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-14 09:00:05.500625 |
| CVE-2024-6894 | WordPress 用 RD Station プラグインは、5.3.2 までのすべてのバージョンにおいて、プラグインによって追加された post メタボックスの入力サニタイズと出力エスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-14 09:00:05.499898 |
| CVE-2024-6332 | WordPress 用の Booking for Appointments and Events Calendar - Amelia Premium および Lite プラグインは、Premium 7.7 および Lite 1.2.3 までのすべてのバージョンにおいて、'ameliaButtonCommand' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者が、プレミアムバージョンのGoogleカレンダーOAuthトークンを含む、従業員カレンダーの詳細にアクセスすることが可能になります。 | 6.5 |
CVE 2024-12-14 09:00:05.499134 |
| CVE-2024-8363 | WordPress 用の Share This Image プラグインは、2.02 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの STI Buttons ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-14 09:00:05.498413 |
| CVE-2024-5309 | Form Vibes - Database Manager for Forms plugin for WordPress は、1.4.12 までのすべてのバージョンにおいて、 fv_export_csv, reset_settings, save_settings, save_columns_settings, get_analytics_data, get_event_logs_data, delete_submissions, get_submissions 関数の機能チェックが欠落しているため、データへの不正アクセスやデータの改ざんの可能性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、複数の不正なアクションを実行することが可能になります。注: この脆弱性は、バージョン 1.4.12 で部分的に修正されています。 | 5.4 |
CVE 2024-12-14 09:00:05.495813 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.