WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2022-1951 | 2.3.1 以前の WordPress プラグイン kitestudio のコアプラグインは、ベンダーのプレミアムテーマがアクティブなときに、未認証および認証済みのユーザーが利用できる AJAX アクションの応答で出力する前に一部のパラメータをサニタイズおよびエスケープせず、反射型クロスサイトスクリプティングにつながることがあります。 | 6.1 |
CVE 2023-11-18 09:00:08.076505 |
| CVE-2016-10875 | WordPress 4.3.1 以前の wp-database-backup プラグインに XSS があります。 | 6.1 |
CVE 2023-11-17 23:00:05.410831 |
| CVE-2021-24909 | 1.7.5より前のACF Photo Gallery Field WordPressプラグインは、includes/acf_photo_gallery_metabox_edit.phpファイルのpostパラメータを属性で出力する前にサニタイズおよびエスケープしないため、反射型クロスサイトスクリプティングの問題が発生します。 | 6.1 |
CVE 2023-11-17 09:00:07.739524 |
| CVE-2022-1673 | 1.0.2 以前の WooCommerce Green Wallet Gateway WordPress プラグインは、ページに出力する前に error_envision クエリーパラメータをエスケープしないため、Reflected Cross-Site Scripting の脆弱性が発生します。 | 6.1 |
CVE 2023-11-17 03:00:07.450990 |
| CVE-2019-15112 | WordPress の 4.8.1 以前の wp-slimstat プラグインには XSS があります。 | 6.1 |
CVE 2023-11-16 23:00:05.217002 |
| CVE-2019-5962 | Zoho SalesIQ 1.0.8 以前のバージョンには、クロスサイトスクリプティングの脆弱性があり、リモートの攻撃者は、特定されていないベクトルを介して任意のウェブスクリプトまたは HTML を注入することができます。 | 6.1 |
CVE 2023-11-16 09:00:10.618489 |
| CVE-2022-0626 | 1.1.6 以前の Advanced Admin Search WordPress プラグインは、管理ページに出力する前に一部のパラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-16 03:00:08.083368 |
| CVE-2020-28038 | WordPress 5.5.2以前のバージョンでは、ポストスラッグを経由した格納型XSSが可能です。 | 6.1 |
CVE 2023-11-15 23:00:06.316033 |
| CVE-2016-10893 | WordPress用の2.8.4以前のcrayon-syntax-highlighterプラグインには、AJAXリクエストを経由する複数のXSS問題があります。 | 6.1 |
CVE 2023-11-15 09:00:10.704032 |
| CVE-2022-0321 | 3.0 以前の WP Voting Contest WordPress プラグインは、wpvc_social_share_icons AJAX アクション (未認証および認証済みユーザーの両方が利用可能) を通じてレスポンスを出力する前に post_id パラメータをサニタイズおよびエスケープしないため、反射型のクロスサイトスクリプティング問題につながる可能性があります。 | 6.1 |
CVE 2023-11-15 03:00:10.555080 |
| CVE-2021-46780 | 1.9.32 以前の Easy Google Maps WordPress プラグインは、管理画面の属性に出力する前にタブパラメータをエスケープしないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-14 23:00:06.574796 |
| CVE-2019-14949 | WordPress 5.1.2 以前の wp-database-backup プラグインに XSS があります。 | 6.1 |
CVE 2023-11-14 09:00:10.441009 |
| CVE-2022-0953 | 4.20.96 以前の Anti-Malware Security and Brute-Force Firewall WordPress プラグインは、管理ページに出力する前に QUERY_STRING をサニタイズおよびエスケープしないため、文字をエンコードしないブラウザで Reflected Cross-Site Scripting になる可能性があります。 | 6.1 |
CVE 2023-11-14 03:00:08.792542 |
| CVE-2022-1567 | WordPress の WP-JS プラグインには wp-js.php というスクリプトがあり、wp_js_admin という関数で、有効でないユーザー入力を受け付け、それをユーザーにエコーバックします。これは、2.0.6までのバージョンでクロスサイトスクリプティングを反映させるために使用することができます。 | 6.1 |
CVE 2023-11-13 23:00:04.741693 |
| CVE-2022-25617 | WordPress の Code Snippets プラグイン <= 2.14.3 に &orderby 脆弱性パラメータを経由した反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。 | 6.1 |
CVE 2023-11-13 09:00:04.830875 |
| CVE-2022-29436 | Alexander Stokmann 氏の Code Snippets Extended プラグイン <= 1.4.7 on WordPress に、クロスサイトリクエストフォージェリによる持続的なクロスサイトスクリプティング (XSS) の脆弱性（脆弱なパラメータ &title、&snippet_code）が存在します。 | 6.1 |
CVE 2023-11-13 03:00:06.512134 |
| CVE-2022-1187 | WordPress WP YouTube Live プラグインには、~/inc/admin.php ファイルに見られる POST データを介した Reflected Cross-Site Scripting の脆弱性があり、1.7.21 までのバージョンにおいて、認証されていない攻撃者に任意のウェブスクリプトを注入される可能性があります。 | 6.1 |
CVE 2023-11-12 23:00:04.378690 |
| CVE-2022-1282 | 1.6.3 以前の Photo Gallery by 10Web WordPress プラグインは $_GET['image_url'] 変数を適切にサニタイズしておらず、editimage_bwg AJAX アクションを実行した際にユーザーに反映されるようになっています。 | 6.1 |
CVE 2023-11-12 09:00:07.892038 |
| CVE-2021-25086 | 6.1.2 以前の Advanced Page Visit Counter WordPress プラグインは、管理者用ダッシュボードページで出力する前に一部の入力をサニタイズおよびエスケープしないため、未認証の攻撃者がそれを閲覧する管理者に対してクロスサイトスクリプティング攻撃を実行することが可能です。 | 6.1 |
CVE 2023-11-12 03:00:06.401969 |
| CVE-2015-9320 | WordPress 2.5.4 以前の option-tree プラグインには、add_query_arg に関連する XSS が存在します。 | 6.1 |
CVE 2023-11-11 23:00:04.280348 |
| CVE-2021-24838 | 0.3.5 以前の AnyComment WordPress プラグインは、API エンドポイントが、最初に検証されることなく redirect パラメータを介して wp_redirect() 関数にユーザー入力を渡し、ベンダーによると Open Redirect 問題を引き起こします。 | 6.1 |
CVE 2023-11-11 09:00:06.702221 |
| CVE-2022-1192 | 1.0 までの Turn off all comments WordPress プラグインは、管理ページに出力する前に rows パラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-11 03:00:06.878373 |
| CVE-2017-18539 | WordPress 用 weblibrarian プラグイン 3.4.8.6 以前には、フロントエンドのショートコード経由の XSS が存在します。 | 6.1 |
CVE 2023-11-10 23:00:06.124564 |
| CVE-2017-18538 | WordPress 用 weblibrarian プラグイン 3.4.8.5 以前には、フロントエンドのショートコード経由の XSS が存在します。 | 6.1 |
CVE 2023-11-10 09:00:08.986955 |
| CVE-2022-0220 | 1.9.27以前のWordPress GDPR WordPressプラグインのcheck_privacy_settings AJAXアクションは、認証されていないユーザーと認証されたユーザーの両方で利用可能ですが、"application/json "コンテントタイプを持たないJSONデータで応答します。HTMLペイロードは適切にエスケープされないため、このエンドポイントに導かれたウェブブラウザによって解釈される可能性があります。被害者のブラウザ上でJavascriptコードが実行される可能性があります。v1.9.26でCSRFチェックが追加されたため、このXSSは認証されていないユーザに対してのみ悪用可能です。 | 6.1 |
CVE 2023-11-10 03:00:08.773706 |
| CVE-2021-24410 | తెలà±?à°-à±? బైబిలà±? వచనమà±?à°²à±?1.0までのWordPressプラグインは、設定や詩を保存する際にCSRFチェックを行わず、ページに出力する際にもサニタイズやエスケープを行いません。このため、ログインした管理者が設定を変更したり、JavaScript のコードを含む悪意のある詩を追加することが可能で、Stored XSS 問題が発生する可能性があります。 | 6.1 |
CVE 2023-11-09 23:00:06.295920 |
| CVE-2017-18540 | WordPress 用 weblibrarian プラグイン 3.4.8.7 以前には、フロントエンドのショートコード経由の XSS があります。 | 6.1 |
CVE 2023-11-09 09:00:06.021001 |
| CVE-2022-2146 | WordPressプラグインImport CSV Files 1.0は、インポートしたデータをページに出力する前にサニタイズとエスケープを行っておらず、そのような動作を行う際のCSRFチェックも不足しているため、Reflected Cross-Site Scriptingが発生する可能性があります。 | 6.1 |
CVE 2023-11-09 03:00:05.572910 |
| CVE-2022-22734 | 1.3.2までのSimple Quotation WordPressプラグインは、見積書を作成または編集する際にCSRFチェックを行わず、見積書をサニタイズおよびエスケープしません。その結果、攻撃者はログインした管理者に任意の見積書を作成または編集させ、その中にクロスサイトスクリプティングのペイロードを置くことができます。 | 6.1 |
CVE 2023-11-08 23:00:05.688672 |
| CVE-2021-24328 | 1.0 までの WP Login Security and History WordPress プラグインは、設定を保存する際に CSRF チェックを行っておらず、サニタイズやバリデーションも行われていません。このため、ログインした管理者がプラグインの設定を任意の値に変更し、XSS ペイロードを設定することが可能です。 | 6.2 |
CVE 2023-11-08 09:00:08.201535 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.