WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2020-36834 | WordPress 用 WooCommerce プラグイン Discount Rules for WooCommerce には、2.0.2 までのバージョンにおいて、様々な機能に関するケイパビリティチェックが欠落しているため、いくつかの AJAX アクションを経由した認可が欠落する脆弱性があります。これにより、サブスクライバレベルの攻撃者が様々なアクションを実行し、ルールの修正や設定の保存など、多種多様なアクションを実行することが可能です。 | 6.3 |
CVE 2025-01-24 03:00:09.622800 |
| CVE-2020-36833 | WordPress 用 Indeed Membership Pro プラグインは、バージョン 7.3 - 8.6 において、様々な AJAX アクションの機能チェックが欠落しているため、認証バイパスに対する脆弱性があります。これにより、購読者のような最小限の権限で認証された攻撃者が、設定の変更や機密データの閲覧などの様々なアクションを実行することが可能になってしまいます。 | 6.3 |
CVE 2025-01-24 03:00:09.622213 |
| CVE-2020-36832 | WordPress 用 Ultimate Membership Pro プラグインは、7.3 から 8.6 までのバージョンにおいて、認証バイパス（Authentication Bypass）の脆弱性があります。これにより、認証されていない攻撃者が、ユーザー名またはユーザーIDを介して、デフォルトのユーザーIDが1のサイト管理者を含む、任意のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-01-24 03:00:09.621566 |
| CVE-2020-36831 | NextScripts：WordPress 用の Social Networks Auto-Poster プラグインは、4.3.17 までのバージョンで提供されている複数のユーザー権限/セキュリティ機能に関する機能チェックが欠落しているため、認証バイパスに対する脆弱性があります。これにより、購読者のような低権限の攻撃者が、管理者レベルのユーザーにロックされている制限されたアクションを実行することが可能になります。 | 5.0 |
CVE 2025-01-24 03:00:09.620952 |
| CVE-2019-25217 | WordPress 用 SiteGround Optimizer プラグインは、/switch-php REST API 経由で呼び出される switch_php 関数のアクセス制御属性が正しく使用されていないため、5.0.12 までのバージョンにおいて、リモートコード実行およびローカルファイルインクルージョンにつながる認証バイパスの脆弱性があります。このため、攻撃者はサーバー上の任意のファイルをインクルードして実行し、 そのファイル内の任意の PHP コードの実行を許してしまいます。これは、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイルタイプをアップロードしてインクルードしたりする場合に、 コード実行を実現するために使用可能です。 | 9.8 |
CVE 2025-01-24 03:00:09.620342 |
| CVE-2019-25213 | WordPress 用 Advanced Access Manager プラグインは、5.9.8.1 までのバージョンにおいて、 aam-media パラメータのバリデーションが不十分なため、 認証されていない任意のファイルを読み取られる脆弱性があります。これにより、認証されていない攻撃者は、 wp-config.php のような機密ファイルを含む、サーバ上の任意のファイルを読み取ることができます。 | 9.8 |
CVE 2025-01-24 03:00:09.617681 |
| CVE-2018-25105 | WordPress 用 File Manager プラグインは、3.0 までのバージョンにおいて、/inc/root.php ファイルのケイパビリティチェックが欠落しているため、認証バイパスの脆弱性があります。これにより、認証されていない攻撃者がサーバーから任意のファイルをダウンロードしたり、リモートでコード実行に使用できる任意のファイルをアップロードしたりすることが可能になります。 | 9.8 |
CVE 2025-01-24 03:00:09.616980 |
| CVE-2017-20192 | WordPress 用 Formidable Form Builder プラグインは、2.05.03 より前のバージョンにおいて、入力のサニタイズと出力のエスケープが不十分であるため、'after_html' のようなフォーム入力中に送信される複数のパラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が、被害者のブラウザで実行される任意のウェブスクリプトを注入することが可能になります。 | 8.3 |
CVE 2025-01-24 03:00:09.616379 |
| CVE-2016-15040 | WordPress 用の Kento Post View Counter プラグインは、2.8 までのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、'kento_pvc_geo' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、データベースから機密情報を抽出するために使用できる、追加の SQL クエリを既存のクエリに追加することが可能になります。 | 9.8 |
CVE 2025-01-24 03:00:09.615180 |
| CVE-2012-10018 | WordPress 用 Mapplic および Mapplic Lite プラグインには、それぞれ 6.1, 1.0 までのバージョンで Server-Side Request Forgery の脆弱性があります。これにより、攻撃者は脆弱なサイトのサーバーからのリクエストを偽造し、SVG ファイルをリクエストした場合、最終的に XSS 攻撃を行うことが可能になります。 | 8.3 |
CVE 2025-01-24 03:00:09.614518 |
| CVE-2024-9937 | WordPress 用 Woo Manage Fraud Orders プラグインは、6.1.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'page' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-24 03:00:09.613763 |
| CVE-2024-9888 | ElementInvader Addons for Elementor plugin for WordPress は、1.2.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインのコンタクトフォームウィジェットのリダイレクト URL を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-01-24 03:00:09.613000 |
| CVE-2024-9873 | WordPress 用の Community by PeepSo - Social Network, Membership, Registration, User Profiles, Premium - Mobile App プラグインは、6.4.6.1 までのすべてのバージョンで Markdown サポートが有効になっている場合、入力のサニタイズと出力のエスケープが不十分なため、投稿、コメント、プロフィール内の URL を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-01-24 03:00:09.610676 |
| CVE-2024-9581 | WordPress 用 Shortcodes AnyWhere プラグインは、1.0.1 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-01-23 23:00:13.926400 |
| CVE-2024-9891 | WordPress の Contact Form 7 用 Multiline files upload プラグインは、2.8.1 までのすべてのバージョンにおいて、 mfcf7_zl_custom_handle_deactivation_plugin_form_submission() 関数の機能チェックが欠落しているため、プラグインを不正に無効化される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインを無効化し、サイトからカスタム理由を送信することが可能になります。 | 4.3 |
CVE 2025-01-23 23:00:11.248552 |
| CVE-2024-9652 | WordPress 用 Locatoraid Store Locator プラグインは、3.9.47 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、$_POST キーを介した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能です。 | 6.1 |
CVE 2025-01-23 23:00:11.247862 |
| CVE-2024-9649 | WP ULike - The Ultimate Engagement Toolkit for Websites plugin for WordPress は、4.7.4 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、wp_ulike_delete_history_api() 関数における nonce バリデーションの欠落または不正確さが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを使用してエンゲージメントを削除することが可能になります。 | 4.3 |
CVE 2025-01-23 23:00:11.247226 |
| CVE-2024-9647 | WordPress 用 Kama SpamBlock プラグインは、1.8.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、$_POST 値を介した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能です。 | 6.1 |
CVE 2025-01-23 23:00:11.246420 |
| CVE-2024-9634 | GiveWP - Donation Plugin and Fundraising Platform plugin for WordPress は、3.16.3 までのすべてのバージョンにおいて、 give_company_name パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。さらに POP チェーンが存在すると、攻撃者はリモートでコードを実行することができます。 | 9.8 |
CVE 2025-01-23 23:00:11.245518 |
| CVE-2024-9521 | WordPress 用 SEO Manager プラグインは、1.9 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、投稿メタを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-23 23:00:11.244356 |
| CVE-2024-9305 | WordPress 用の AppPresser - Mobile App Framework プラグインは、4.4.4 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、appp_reset_password() と validate_reset_password() 関数が、パスワードを変更するための OTP のブルートフォース攻撃を防いだり、パスワードリセットリクエストが認証されたユーザーからのものであることを検証したりするのに十分な制御機能を持っていないためです。このため、認証されていない攻撃者が、管理者を含むすべてのユーザのパスワードを変更できるようにする OTP を生成し、ブルートフォースすることが可能になってしまう。 | 8.1 |
CVE 2025-01-23 23:00:11.243614 |
| CVE-2024-9105 | WordPress用のUltimateAIプラグインは、2.8.3までのバージョンにおいて、認証バイパスの脆弱性があります。これは、'ultimate_ai_register_or_login_with_google' 関数で提供されるユーザーの検証が不十分なためです。このため、認証されていない攻撃者は、電子メールにアクセスできれば、管理者などのサイト上の既存のユーザーとしてログインすることが可能です。 | 9.8 |
CVE 2025-01-23 23:00:11.242803 |
| CVE-2024-9104 | WordPress 用 UltimateAI プラグインは、2.8.3 までのすべてのバージョンにおいて、認証バイパスに対する脆弱性があります。これは、'ultimate_ai_change_pass' 関数の不適切な空の値チェックとデフォルトの有効化された値チェックの欠落によるものです。このため、未認証の攻撃者が、まだアカウントが有効化されていない最初のユーザーや、アカウントを有効化した最初のユーザーの加入者のパスワードをリセットすることが可能になってしまいます。 | 5.6 |
CVE 2025-01-23 23:00:11.242095 |
| CVE-2024-8787 | WordPress 用 Smart Online Order for Clover プラグインは、1.5.7 までのすべてのバージョンにおいて、URL 上で適切なエスケープを行わずに add_query_arg と remove_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-23 23:00:11.241160 |
| CVE-2024-8541 | Discount Rules for WooCommerce - Create Smart WooCommerce Coupons & Discounts, Bulk Discount, BOGO Coupons plugin for WordPress は、2.6.5 までのすべてのバージョンにおいて、 URL に適切なエスケープをせずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。これは、「レビューを残す」通知が存在する場合にのみ悪用可能であることに注意してください。この通知は、100件の注文が行われた後に発生し、ユーザが通知を解除すると消えます。 | 4.7 |
CVE 2025-01-23 23:00:11.238550 |
| CVE-2024-9895 | WordPress 用 Smart Online Order for Clover プラグインは、1.5.7 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの moo_receipt_link ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-23 09:00:23.546761 |
| CVE-2024-9837 | AADMY - Add Auto Date Month Year Into Posts plugin for WordPress は、2.0.1 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 7.3 |
CVE 2025-01-23 03:00:28.907607 |
| CVE-2024-9944 | WordPress 用 WooCommerce プラグインには、9.0.2 までのすべてのバージョンにおいて HTML インジェクションの脆弱性があります。これは、送信された注文フォームからプラグインがHTML要素を適切に無効化しないことが原因です。これにより、認証されていない攻撃者が、管理者が注文フォームの送信を閲覧する際に表示される任意の HTML を注入することが可能になります。 | 5.3 |
CVE 2025-01-23 03:00:28.904366 |
| CVE-2024-9820 | WordPress 用 WP 2FA with Telegram プラグインは、3.0 までのバージョンにおいて、二要素認証バイパスの脆弱性があります。これは、二要素認証コードがクッキーに保存されているためで、二要素認証をバイパスすることが可能です。 | 6.5 |
CVE 2025-01-22 23:00:05.804060 |
| CVE-2024-9687 | WordPress 用 WP 2FA with Telegram プラグインは、3.0 までのバージョンにおいて Authentication Bypass の脆弱性があります。これは、'validate_tg' アクションで、ユーザが管理するキーのバリデーションが不十分なためです。このため、加入者レベル以上の権限を持つ認証済みの攻撃者が、管理者などのサイト上の既存ユーザーとしてログインできてしまいます。 | 8.8 |
CVE 2025-01-22 23:00:05.803462 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.