WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-4611 | WordPress 用のプラグイン Slim SEO - Fast & Automated WordPress SEO Plugin には、4.5.3 までのすべてのバージョンにおいて、ユーザーから提供された属性の入力サニタイズと出力エスケープが不十分なため、プラグインの slim_seo_breadcrumbs ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。このため、投稿者レベル以上のアクセス権を持つ認証された攻撃者は、任意のウェブスクリプトをページに注入することができます。 | 6.4 |
CVE 2025-08-29 09:00:05.833922 |
| CVE-2025-4221 | WordPress 用の Animated Buttons プラグインは、1.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'auto-downloader' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.832989 |
| CVE-2025-4219 | WordPress 用 DPEPress プラグインは、0.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'dpe' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.832024 |
| CVE-2025-4217 | WordPress 用 WP YouTube Video Optimizer プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'ib_youtube' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.830655 |
| CVE-2025-4105 | WordPress 用の Split プラグインは、4.2.8 までのすべてのバージョンにおいて、 'splitIt-flexfields-payment-gateway.php' ファイル内のいくつかの関数における機能チェックが欠落しているため、 データが不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、サンドボックスから実運用環境への変更、またはその逆を含む、プラグインの設定を変更することが可能になります。 | 5.4 |
CVE 2025-08-29 09:00:05.827609 |
| CVE-2025-3781 | WordPress 用 Raisely Donation Form プラグインは、1.0 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインの raisely_donation_form ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.826855 |
| CVE-2025-3750 | WordPress 用 Network Posts Extended プラグインは、7.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'post_height' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-29 09:00:05.825590 |
| CVE-2024-12561 | WordPress 用 Google Analytics and other tools プラグインの Affiliate Sales には、1.4.9 までのすべてのバージョンにおいて Open Redirect の脆弱性があります。これは、'afflink' パラメータ経由で提供されるリダイレクト URL の検証が不十分なためです。これにより、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトにリダイレクトさせることが可能になります。 | 6.1 |
CVE 2025-08-29 09:00:05.805016 |
| CVE-2024-5878 | WordPress 用の複数のプラグインには、様々なバージョンにおいて、プラグインにバンドルされている SimpleLightbox JavaScript ライブラリ（バージョン 2.1.5）を経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-28 03:00:07.154959 |
| CVE-2025-4322 | WordPress 用の Motors テーマには、5.6.67 までのすべてのバージョンにおいて、アカウント乗っ取りによる権限昇格の脆弱性があります。これは、このテーマがパスワードを更新する前にユーザーの身元を適切に検証しないことに起因します。このため、認証されていない攻撃者が、管理者を含む任意のユーザーのパスワードを変更し、それを利用してアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-08-28 03:00:07.150339 |
| CVE-2025-2929 | 12.4.0以前のOrder Delivery Date WordPressプラグインは、ページにパラメータを出力する前にパラメータをサニタイズおよびエスケープしていないため、管理者などの高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 | 7.1 |
CVE 2025-08-28 03:00:07.145676 |
| CVE-2025-39372 | elbisnero WordPress Events Calendar Registration & Tickets の Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性により、Reflected XSS が可能です。この問題は、WordPress Events Calendar Registration & Tickets: n/a から 2.6.0 に影響します。 | 7.1 |
CVE 2025-08-27 09:00:06.871789 |
| CVE-2025-39348 | ThemeGoods Grand Restaurant WordPressに信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 9.8 |
CVE 2025-08-27 09:00:06.870632 |
| CVE-2025-32926 | ThemeGoods Grand Restaurant WordPress には、制限付きディレクトリへのパス名の不適切な制限（「Path Traversal」）の脆弱性があり、Path Traversal を許してしまいます。この問題は、Grand Restaurant WordPress: n/a から 7.0 までのバージョンに影響します。 | 9.8 |
CVE 2025-08-27 09:00:06.869944 |
| CVE-2025-47581 | Elbisnero WordPress Events Calendar Registration & Tickets に信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、WordPress Events Calendar Registration & Tickets: n/a から 2.6.0 に影響します。 | 9.8 |
CVE 2025-08-27 09:00:06.869357 |
| CVE-2025-39411 | Indie_Plugins WhatsApp Click to Chat Plugin for WordPress における PHP プログラムの Include/Require ステートメントにおけるファイル名の不適切な制御（「PHP リモートファイルインクルージョン」）の脆弱性 この問題は、WhatsApp Click to Chat Plugin for WordPress の n/a から 2.2.12 までのバージョンに影響します。 | 7.5 |
CVE 2025-08-27 09:00:06.868735 |
| CVE-2025-39409 | この問題は、WordPress Video Robot - The Ultimate Video Importer の n/a から 1.20.0 までのバージョンに影響します。 | 7.1 |
CVE 2025-08-27 09:00:06.868176 |
| CVE-2025-47582 | QuantumCloud WPBot Pro Wordpress Chatbot に信頼できないデータのデシリアライズの脆弱性があり、オブジェクトインジェクションが可能です。この問題は、WPBot Pro Wordpress Chatbot: n/a から 12.7.0 に影響します。 | 9.8 |
CVE 2025-08-27 09:00:06.867578 |
| CVE-2025-46262 | この問題は、Mad Mimi for WordPress: n/a から 1.5.1 までのバージョンに影響します。 | 6.5 |
CVE 2025-08-27 09:00:06.866223 |
| CVE-2025-39376 | QuanticaLabs Car Park Booking System for WordPress に認証漏れの脆弱性。この問題は、Car Park Booking System for WordPress: n/a から 2.6 に影響します。 | 4.3 |
CVE 2025-08-27 09:00:06.865412 |
| CVE-2025-39353 | ThemeGoods Grand Restaurant WordPressに認証漏れの脆弱性があり、不正に設定されたアクセス制御のセキュリティレベルを悪用されます。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 5.3 |
CVE 2025-08-27 09:00:06.864659 |
| CVE-2025-39351 | ThemeGoods Grand Restaurant WordPress にクロスサイトリクエストフォージェリ (CSRF) の脆弱性があり、クロスサイトリクエストフォージェリが可能です。この問題は、Grand Restaurant WordPress: n/a から 7.0 に影響します。 | 4.3 |
CVE 2025-08-27 09:00:06.858898 |
| CVE-2025-2561 | 3.10.1 より前の Ninja Forms WordPress プラグインは、設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html 機能が許可されていない場合 (マルチサイト設定など) でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を行える可能性があります。 | 4.8 |
CVE 2025-08-27 03:00:04.765827 |
| CVE-2025-2560 | 3.10.1 より前の Ninja Forms WordPress プラグインは、設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html 機能が許可されていない場合 (マルチサイト設定など) でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を行える可能性があります。 | 4.8 |
CVE 2025-08-27 03:00:04.765089 |
| CVE-2025-2524 | 3.10.1 より前の Ninja Forms WordPress プラグインは、設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html 機能が許可されていない場合 (マルチサイト設定など) でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を行える可能性があります。 | 4.8 |
CVE 2025-08-27 03:00:04.764317 |
| CVE-2025-1627 | Qi Blocks WordPressプラグイン1.4以前のバージョンでは、ブロックを埋め込むページ/投稿に出力する前に、ブロックオプションの一部を検証およびエスケープしていないため、投稿者ロール以上のユーザが、蓄積型クロスサイトスクリプティング攻撃を行う可能性があります。 | 5.4 |
CVE 2025-08-27 03:00:04.763601 |
| CVE-2025-1626 | Qi Blocks WordPressプラグイン1.4以前のバージョンでは、カウントダウンブロックオプションの一部を、ブロックが埋め込まれているページ/投稿に出力する前にバリデーションおよびエスケープしていないため、コントリビューターロール以上のユーザがストアドクロスサイトスクリプティング攻撃を行う可能性があります。 | 5.4 |
CVE 2025-08-27 03:00:04.762652 |
| CVE-2025-1625 | Qi Blocks WordPressプラグイン1.4以前のバージョンでは、カウンタブロックオプションの一部が、ブロックが埋め込まれているページ/投稿に出力される前に検証およびエスケープされないため、コントリビュータロール以上のユーザがストアドクロスサイトスクリプティング攻撃を行う可能性があります。 | 5.4 |
CVE 2025-08-27 03:00:04.761740 |
| CVE-2025-2892 | All in One SEO - Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic plugin for WordPress は、4.8.1.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、投稿の Meta Description と Canonical URL パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-27 03:00:04.759115 |
| CVE-2025-3715 | WordPress 用 Bold Page Builder プラグインは、入力のサニタイズと出力のエスケープが不十分なため、5.3.5 までのすべてのバージョンにおいて、data-text パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-26 03:00:07.030302 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.