WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-11827 | ブロックの外WordPress 用 OpenStreetMap プラグインは、2.8.3 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの ootb_query ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 09:00:04.740872 |
| CVE-2024-9290 | WordPress 用プラグイン Super Backup & Clone - Migrate for WordPress は、2.3.3 までのすべてのバージョンにおいて、ファイルタイプ検証の欠落および ibk_restore_migrate_check() 関数の機能チェックの欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-03-23 09:00:04.740206 |
| CVE-2024-11012 | The Notibar - Notification Bar for WordPress plugin for WordPress には、2.1.4 までのすべてのバージョンにおいて、njt_nofi_text AJAX アクションを経由して任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が任意のショートコードを実行することが可能になります。 | 6.3 |
CVE 2025-03-23 09:00:04.739524 |
| CVE-2024-10783 | WordPress 用プラグイン MainWP Child - Securely Connects to the MainWP Dashboard to Manage Multiple Sites は、5.2 までのすべてのバージョンにおいて、サイトが未設定の状態のまま放置されている場合に register_site 関数での権限チェックが欠落しているため、権限昇格の脆弱性があります。これにより、MainWP Child がまだ MainWP Dashboard に接続されていないインスタンスで、認証されていない攻撃者が管理者としてログインできるようになります。重要：これは MainWP Child がインストールされ、まだ MainWP Dashboard に接続されておらず、固有のセキュリティ ID 機能が有効になっていないサイトにのみ影響します。すでに MainWP Dashboard プラグインに接続しており、固有のセキュリティ ID 機能を有効にしていないサイトは影響を受けず、アップグレードする必要はありません。5.2.1には部分的なパッチが含まれていますが、私たちは5.3を完全なパッチと考えています。 | 8.1 |
CVE 2025-03-23 09:00:04.738813 |
| CVE-2024-12465 | WordPress 用の Property Hive Stamp Duty Calculator プラグインは、1.0.22 までのすべてのバージョンにおいて、ユーザが提供した属性の入力サニタイズと出力エスケープが不十分なため、プラグインの「stamp_duty_calculator_scotland」ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 09:00:04.738218 |
| CVE-2024-12421 | The Coupon Affiliates - Affiliate Plugin for WooCommerce plugin for WordPress には、5.16.7.1 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。また、この機能は Reflected Cross-Site Scripting にも脆弱です。クロスサイトスクリプティングはバージョン 5.16.7.1 で修正され、任意のショートコードの実行は 5.16.7.2 で修正されました。 | 6.5 |
CVE 2025-03-23 09:00:04.737593 |
| CVE-2024-12420 | WPMobile.App - Android and iOS Mobile Application plugin for WordPress は、11.52 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションの実行をソフトウェアが許可していることが原因です。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-03-23 09:00:04.736847 |
| CVE-2024-12417 | WordPress 用 The Simple Link Directory プラグインは、8.4.0 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-03-23 09:00:04.736159 |
| CVE-2024-12414 | WordPress 用 Themify Store Locator プラグインは、1.1.9 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、setting_page() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる、偽造されたリクエストを経由してプラグインの設定を変更することが可能になります。 | 4.3 |
CVE 2025-03-23 09:00:04.735481 |
| CVE-2024-12309 | WordPress の FeedbackWP プラグインによる Rate My Post - Star Rating Plugin には、4.2.4 までのすべてのバージョンにおいて、ユーザが制御するキーのバリデーションが欠落しているため、get_post_status() を経由した Insecure Direct Object Reference の脆弱性があります。これにより、認証されていない攻撃者が未公開のスケジュール投稿に投票することが可能になってしまいます。 | 5.3 |
CVE 2025-03-23 09:00:04.734871 |
| CVE-2024-12042 | MStore API - Create Native Android & iOS Apps On The Cloud plugin for WordPress には、4.16.4 までのすべてのバージョンにおいて、ファイルタイプの検証が不十分なため、プロフィール画像のアップロード機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、ユーザーがファイルにアクセスするたびに実行される任意のウェブスクリプトを含む HTML ファイルをアップロードすることが可能になります。 | 5.4 |
CVE 2025-03-23 09:00:04.734228 |
| CVE-2024-11911 | WordPress 用 WP Crowdfunding プラグインは、2.1.12 までのすべてのバージョンにおいて、install_woocommerce_plugin() 関数アクションの機能チェックが欠落しているため、プラグインを不正にインストールされる脆弱性があります。これにより、Subscriberレベル以上のアクセス権を持つ、認証された攻撃者がWooCommerceをインストールすることが可能になります。WooCommerceは必須であるため、ほとんどのサイトへの影響は限定的です。 | 4.3 |
CVE 2025-03-23 09:00:04.733509 |
| CVE-2024-11910 | WordPress 用 WP Crowdfunding プラグインは、入力のサニタイズと出力のエスケープが不十分なため、2.1.12 までのすべてのバージョンにおいて、wp-crowdfunding/search ブロックを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 09:00:04.732894 |
| CVE-2024-11832 | WordPress 用 Beaver Builder - WordPress Page Builder プラグインは、2.8.4.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、カスタム JavaScript 行設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 09:00:04.732184 |
| CVE-2024-11754 | WordPress 用の Booking System Trafft プラグインは、1.0.6 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'trafftbooking' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 09:00:04.731209 |
| CVE-2024-11275 | WP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling Plugin for WordPress は、1.0.27 までのすべてのバージョンにおいて、/wp-json/timetics/v1/customers/ REST API エンドポイントのケイパビリティチェックが欠落しているため、不正なデータ損失の脆弱性があります。このため、Timetics Customer 以上のアクセス権を持つ認証済みの攻撃者は、任意のユーザーを削除することが可能です。 | 4.3 |
CVE 2025-03-23 09:00:04.728511 |
| CVE-2024-12581 | Gutenberg Blocks with AI by Kadence WP - Page Builder Features plugin for WordPress は、3.2.53 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-03-23 03:00:05.097610 |
| CVE-2024-10939 | 4.4.11より前のImage Widget WordPressプラグインは、Image Widget設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-03-23 03:00:05.096626 |
| CVE-2024-10678 | 3.2.4より前のUltimate Blocks WordPressプラグインは、ブロックが埋め込まれているページ/投稿に出力する前に、ブロックオプションの一部を検証およびエスケープしていないため、投稿者ロール以上のユーザがStored Cross-Site Scripting攻撃を行う可能性があります。 | 5.4 |
CVE 2025-03-23 03:00:05.095513 |
| CVE-2024-12579 | WordPress 用 Minify HTML プラグインには、2.1.10 までのすべてのバージョンにおいて、正規表現によるサービス拒否 (ReDoS) の脆弱性があります。これは、ユーザーから提供された入力を正規表現として処理することに起因します。 これにより、認証されていない攻撃者がコメントを作成することが可能になり、致命的なバックトラックを引き起こし、ページを壊す可能性があります。 | 5.3 |
CVE 2025-03-23 03:00:05.094598 |
| CVE-2024-12574 | WordPress 用 SVG Shortcode プラグインは、1.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、ユーザが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトを、認証されていない攻撃者がページに注入することが可能になります。 | 5.4 |
CVE 2025-03-23 03:00:05.093314 |
| CVE-2024-11809 | WordPress 用プラグイン Primer MyData for Woocommerce には、4.2.1 までのすべてのバージョンにおいて、入力のサニタイズおよび出力のエスケープが不十分なため、「img_src」パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-23 03:00:05.092264 |
| CVE-2024-11767 | WordPress用NewsmanAppプラグインは、2.7.6までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの'newsman_subscribe_widget'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-23 03:00:05.091509 |
| CVE-2024-12572 | WordPress 用 Hello In All Languages プラグインには、1.0.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは関数の nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-23 03:00:05.090763 |
| CVE-2024-12300 | WordPress 用 AR for WordPress プラグインは、7.3 までのすべてのバージョンにおいて set_ar_featured_image() 関数の機能チェックが欠落しているため、二重拡張子による不正なファイルアップロードの脆弱性があります。このため、認証されていない攻撃者が二重拡張子攻撃を利用して php ファイルをアップロードすることが可能です。ファイルは即座に削除され、二重拡張子攻撃は特定のサーバーでしか機能しないため、悪用される可能性は低いことに注意することが重要です。 | 3.7 |
CVE 2025-03-23 03:00:05.089620 |
| CVE-2019-25221 | WordPress 用の Responsive Filterable Portfolio プラグインは、1.0.8 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、'id' パラメータ経由で SQL インジェクションを受ける脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 6.5 |
CVE 2025-03-23 03:00:05.085605 |
| CVE-2024-12271 | WordPress 用 360 Javascript Viewer プラグインは、1.7.29 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'ref' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-03-22 09:00:08.283509 |
| CVE-2024-12333 | WordPress 用 Woodmart テーマには、8.0.3 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、ソフトウェアが、woodmart_instagram_ajax_query AJAX アクションを通して do_shortcode を実行する前に値を適切に検証しないアクションの実行をユーザに許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-03-22 09:00:08.282758 |
| CVE-2024-12160 | Seraphinite Bulk Discounts for WooCommerce plugin for WordPress は、2.4.6 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-22 09:00:08.281793 |
| CVE-2024-11760 | WordPress 用 Currency Converter Widget ⚡ PRO プラグインは、1.0.6 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'currency-converter-widget-pro' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-22 09:00:08.278373 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.