WordPressに関連するセキュリティ情報をお知らせしてます

見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。

アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] (3471)
ID 説明 CVSS v3 ベーススコア 情報元
ID 説明 CVSS v3 ベーススコア 情報元
CVE-2022-1153 7.1.2 以前の LayerSlider WordPress プラグインは、Project のスラッグを様々な場所に出力する前にサニタイズおよびエスケープを行わないため、unfiltered_html が許可されていない場合でも、admin などの高権限ユーザがクロスサイトスクリプティング攻撃を実行できる可能性があります。 4.8 CVE
2022-12-26 03:00:06.796706
CVE-2022-2222 4.5.91 以前の WordPress プラグイン Download Monitor は、ダウンロードされるファイルがブログフォルダ内にあり、機密ファイルでないことを保証していないため、ハード化された環境やマルチサイト設定でも admin などの高権限ユーザーが wp-config.php や /etc/passwd をダウンロードすることが可能になっています。 4.9 CVE
2022-12-25 09:00:04.565963
CVE-2022-1685 5 Minute Webshop WordPress プラグイン 1.3.2 は、Manage Products 管理ページで SQL 文に使用する前に orderby パラメータを適切に検証およびサニタイズしないため、SQL インジェクションが発生する可能性があります。 4.9 CVE
2022-12-25 03:00:05.151135
CVE-2022-29448 WordPress の Wow-Company's Herd Effects プラグイン <= 5.2> に、認証済み (管理者以上のユーザーロール) のローカルファイル取り込み (LFI) 脆弱性があります。 4.9 CVE
2022-12-24 23:00:07.365126
CVE-2021-24978 OSMapper WordPress プラグイン 2.1.5 には、プラグイン関連の投稿タイプ 'map' を削除する AJAX アクションがあり、wp_ajax_nopriv というプレフィックスで登録されているので、未認証のユーザでも利用可能です。削除する投稿が map であることを確認するための認証、CSRF、およびチェックは行われていません。その結果、未認証のユーザーがブログから任意の投稿を削除することができます。 5.3 CVE
2022-12-24 09:00:04.916788
CVE-2021-24359 4.1.11 以前の Plus Addons for Elementor Page Builder WordPress プラグインは、パスワードのリセットを要求するユーザーが正規のユーザーであることを適切に確認せず、攻撃者が WordPress サイトに代わって登録ユーザーに任意のパスワードリセット用メールを送信できる可能性がありました。この問題は、4.1.10 より前のバージョンの open redirect (CVE-2021-24358) と連鎖し、メールに細工したパスワードリセットリンクを含めることでアカウントの乗っ取りにつながる可能性があります。 5.3 CVE
2022-12-24 03:00:05.094412
CVE-2021-39327 BulletProof Security WordPress プラグインは、一般にアクセス可能な ~/db_backup_log.txt ファイルにファイルパス開示の脆弱性があり、攻撃者にデータベースバックアップファイルのパスに加え、サイトのフルパスを許可するため、機密情報漏洩の可能性があります。この問題は、5.1 までのバージョンに影響します。 5.3 CVE
2022-12-23 23:00:06.510891
CVE-2021-25118 WordPress プラグイン Yoast SEO (バージョン 16.7 から 17.2 まで) は、wp/v2/posts REST エンドポイントを介して投稿の特集画像の内部パスを完全に開示しており、攻撃者が他の脆弱性を特定したり、特定した他の脆弱性を悪用する際に役立ったりする恐れがあります。 5.3 CVE
2022-12-23 09:00:04.974006
CVE-2022-2133 6.22.6 以前の OAuth Single Sign On WordPress プラグインは、OAuth アクセストークンの要求が正当なものであることを検証しないため、攻撃者はユーザーのメールアドレスのみを知っている状態でサイトにログインすることが可能になっています。 5.3 CVE
2022-12-22 23:00:05.533862
CVE-2021-24219 1.4.13.3 以前の Thrive Optimize WordPress plugin, 1.4.15.3 以前の Thrive Comments WordPress plugin, 1.3.7.3 以前の Thrive Headline Optimizer WordPress plugin, 2.3.9.4 以前の Thrive Leads WordPress plugin, 2.3.9.4 以前の Thrive Ultimatum WordPress plugin, 2.3.9.4 以前の Thrive Quiz Builder WordPress plugin, 2.3.8 以前の Thrive Apprentice WordPress Plugin。9.4、2.3.9.4以前のThrive Apprentice WordPressプラグイン、2.6.7.4以前のThrive Visual Editor WordPressプラグイン、2.3.9.3以前のThrive Dashboard WordPressプラグイン、2.4.5以前のThrive Ovation WordPressプラグイン、1.57.1以前とThrive Themes WordPressテーマのRiseで2つの前に。2.0.0、2.0.0前にThrive ThemesのWordPressのテーマによってイグニッション、Thrive ThemesのWordPressのテーマによってルクス、2.0.0前にThriveテーマのWordPressテーマによってFocusBlog、ThriveテーマのWordPressテーマによってマイナス、2.0.0前に、ThriveテーマWordPressテーマによって平方、音声WordPressテーマ前に2.0.0、Team2.0.0, Performag by Thrive Themes WordPress theme before 2.0.0, Pressive by Thrive Themes WordPress theme before 2.0.0, Storied by Thrive Themes WordPress theme before 2.0.0, Thrive Themes Builder WordPress theme before 2.2.4 は Zapier 機能に関連した REST API エンドポイントを登録しています。このエンドポイントにアクセスするためには API キーが必要ですが、脆弱なバージョンでは Zapier が有効になっていない場合、空の api_key パラメータを指定することでアクセスすることが可能でした。攻撃者は、このエンドポイントを使用して、wp_options テーブルの定義済みオプションに任意のデータを追加することができます。 5.3 CVE
2022-12-22 09:00:04.452110
CVE-2022-1595 1.4までのHC Custom WP-Admin URL WordPressプラグインは、特定の細工をしたリクエストを送信すると、秘密のログインURLが漏れます。 5.3 CVE
2022-12-21 23:00:05.283640
CVE-2022-1166 JobMonster Theme は、デフォルトの PHP ファイルや .htaccess ファイルを含んでいないため、/wp-content/uploads/jobmonster/ フォルダに Directory Listing の脆弱性があります。この場合、履歴書などの個人情報が流出する可能性があります。Directory Listingは、Webサーバーを安全に設定することで防ぐことができますが、ベンダー側でも発生しにくくするための対策を講じることができます。 5.3 CVE
2022-12-21 03:00:05.172821
CVE-2019-25060 0.3.5 以前の WPGraphQL WordPress プラグインは、影響を受けるサイト上の他のユーザーのロールに関する情報へのアクセスを適切に制限していません。このため、リモートの攻撃者は GraphQL クエリを偽造して、サイト上のすべてのユーザーのアカウントロールを取得することができます。 5.3 CVE
2022-12-20 23:00:05.659271
CVE-2022-1938 1.8 以前の Awin Data Feed WordPress プラグインは、解析データを生成するリクエストを処理する際にヘッダーをサニタイズおよびエスケープしないため、ログインしている管理者がプラグインの設定を閲覧した場合に、認証されていないユーザーが保存型クロスサイトスクリプティング攻撃を実行することが可能です。 5.4 CVE
2022-12-19 09:00:05.069822
CVE-2021-24635 2.2.3 以前の Visual Link Preview WordPress プラグインは、いくつかの AJAX アクションで認証を強制せず、すべての認証済みユーザに対して CSRF nonce を表示しています。 5.4 CVE
2022-12-19 03:00:06.389400
CVE-2019-16223 5.2.3 以前の WordPress では、認証済みユーザーによる投稿プレビューで XSS が可能です。 5.4 CVE
2022-12-18 23:00:05.129866
CVE-2022-25604 WordPress Price Table プラグイン（バージョン <= 0.2.2）に、認証済み（上位ユーザーロールの投稿者）保存型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。 5.4 CVE
2022-12-18 09:00:04.155298
CVE-2020-10385 WordPress 1.5.9 以前の WPForms Contact Form (aka wpforms-lite) プラグインには、保存されたクロスサイトスクリプティング (XSS) 脆弱性が存在します。 5.4 CVE
2022-12-18 03:00:06.199966
CVE-2021-24683 1.3.4 以前の WordPress プラグイン Weather Effect は、設定を保存する際に CSRF チェックを行わず、検証もエスケープも行わないため、Stored Cross-Site Scripting 問題が発生する可能性があります。 5.4 CVE
2022-12-17 09:00:06.506337
CVE-2021-24930 20.3.1 以前の WordPress Online Booking and Scheduling Plugin WordPress プラグインは、Staff Full Name フィールドをページで出力し直す前にエスケープしないため、Stored Cross-Site Scripting 問題が発生する可能性があります。 5.4 CVE
2022-12-17 03:00:05.009404
CVE-2021-24685 Flat Preloader 1.5.4 以前の WordPress プラグインは、設定を保存する際に nonce チェックを行わず、またサニタイズやエスケープも行わないため、ログインした管理者がクロスサイトスクリプティングのペイロードを使用して設定を変更する可能性があります（ペイロードに応じてフロントエンドまたはバックエンドでトリガーされる場合があります）。 5.4 CVE
2022-12-16 23:00:05.710587
CVE-2017-20055 BestWebSoft Contact Form Plugin 4.0.0 に問題となる脆弱性が発見されました。 この脆弱性は、未知の部分に影響します。この操作により、基本的なクロスサイトスクリプティング（Stored）が行われます。リモートで攻撃を開始することが可能です。このエクスプロイトは一般に公開されており、使用される可能性があります。バージョン 4.0.2 にアップグレードすることで、この問題に対処することができます。影響を受けるコンポーネントをアップグレードすることを推奨します。 5.4 CVE
2022-12-16 09:00:05.721432
CVE-2021-24842 1.12 以前の Bulk Datetime Change WordPress プラグインでは、Contributor ロールを持つユーザーが 1) 他のユーザーの非公開投稿タイトルを一覧表示し、2) 他のユーザーの投稿の投稿日を変更することができる能力チェックが実施されていません。 5.4 CVE
2022-12-16 03:00:06.831159
CVE-2017-20108 Easy Table Plugin 1.6 に問題とされる脆弱性が発見されました。この脆弱性は、/wordpress/wp-admin/options-general.php の未知の部分に影響します。入力 "><script>alert(1)</script>" を操作することで、基本的なクロスサイトスクリプティングにつながります。リモートで攻撃を開始することが可能です。 5.4 CVE
2022-12-15 23:00:03.977019
CVE-2021-42367 Variation Swatches for WooCommerce WordPress プラグインには、 ~/includes/class-menu-page.php ファイルにある複数のパラメータを経由した Stored Cross-Site Scripting の脆弱性があり、バージョン 2.1.1 までは、攻撃者が任意のウェブスクリプトを注入することが可能になっています。tawcvs_save_settings 関数の認証チェックが抜けているため、購読者などの低レベルの認証済みユーザがこの脆弱性を悪用することができます。 5.4 CVE
2022-12-15 09:00:05.179000
CVE-2021-45729 WordPress のプラグイン WP Google Map (バージョン <= 1.8.0) に発見された特権昇格の脆弱性は、認証されたローロールユーザーがマップを作成、編集、削除できるようにするものです。 5.4 CVE
2022-12-14 23:00:05.801352
CVE-2021-24988 4.19.3 以前の WP RSS Aggregator WordPress プラグインは、システム情報管理ダッシュボードに出力する前にデータをサニタイズおよびエスケープしていません。 5.4 CVE
2022-12-14 09:00:04.630286
CVE-2022-1763 Static Page eXtended WordPress プラグイン 2.1 には、チェック漏れがあるため、特定の機能に必要なユーザーレベルを含むプラグイン設定を変更できる CSRF 攻撃の脆弱性があります。また、一部の設定にエスケープ処理が施されていないため、Stored Cross-Site Scripting につながる可能性があります。 5.4 CVE
2022-12-14 03:00:05.879838
CVE-2022-1818 2.6 までの Multi-page Toolkit WordPress プラグインは、設定の更新時に CSRF チェックを行わないため、ログインした管理者が CSRF 攻撃によって設定を変更し、サニタイズとエスケープの不足により Stored Cross-Site Scripting につながる可能性があります。 5.4 CVE
2022-12-13 23:00:06.316177
CVE-2022-1208 WordPress 用プラグイン Ultimate Member は、入力のサニタイズと出力のエスケープが不十分なため、ユーザーが悪意のあるウェブスクリプトを HTML エンコードしてページに反映させることができ、ユーザー個人のプロフィールページにある Biography フィールドを介して Stored Cross-Site Scripting を受ける可能性があります。この問題は、2.3.2 までのバージョンに影響します。この問題は、バージョン 2.3.2 で部分的に修正され、その後、バージョン 2.3.3 で完全に修正されましたので、ご注意ください。 5.4 CVE
2022-12-13 09:00:04.700306
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] [36] [37] [38] [39] [40] [41] [42] [43] [44] [45] [46] [47] [48] [49] [50] [51] [52] [53] [54] [55] [56] [57] [58] [59] [60] [61] [62] [63] [64] [65] [66] [67] [68] [69] [70] [71] [72] [73] [74] [75] [76] [77] [78] [79] [80] [81] [82] [83] [84] [85] [86] [87] [88] [89] [90] [91] [92] [93] [94] [95] [96] [97] [98] [99] [100] [101] [102] [103] [104] [105] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115] [116] (3471)

セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。

Copyright © 2022 frame and surface.