WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-12709 | Bulk Me Now！2.0 までの WordPress プラグインには CSRF チェックがない箇所があり、攻撃者が CSRF 攻撃によってログイン中のユーザーに不要なアクションを実行させる可能性があります。 | 4.3 |
CVE 2025-05-10 03:00:04.652225 |
| CVE-2024-12708 | Bulk Me Now！2.0 までの WordPress プラグインは、ショートコードを埋め込んだページ/投稿に出力する前に、ショートコードの属性の一部を検証およびエスケープしていません。このため、投稿者ロール以上のユーザが、保存されたクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 7.1 |
CVE 2025-05-10 03:00:04.651281 |
| CVE-2024-12638 | Bulk Me Now！2.0 までの WordPress プラグインでは、パラメータをページに出力する前にサニタイズおよびエスケープを行わないため、管理者などの高権限ユーザーに対して使用される可能性のある、反射型クロスサイトスクリプティングが発生します。 | 7.1 |
CVE 2025-05-10 03:00:04.650102 |
| CVE-2024-12400 | 5.3.5以前のtourmaster WordPressプラグインは、生成されたURLを属性で出力する前にエスケープしないため、Reflected Cross-Site Scriptingが発生します。 | 7.1 |
CVE 2025-05-10 03:00:04.649354 |
| CVE-2024-12163 | 2.1.3以前のgoodlayers-core WordPressプラグインでは、購読者ロール以上のユーザが悪意のあるペイロードを含むSVGをアップロードすることができます。 | 6.5 |
CVE 2025-05-10 03:00:04.648508 |
| CVE-2024-10309 | 2.4.0より前のTracking Code Manager WordPressプラグインは、メタボックスの設定をページ内に出力する際に、サニタイズおよびエスケープを行わないため、Contributor以下のロールのユーザーにクロスサイトスクリプティング攻撃を許してしまう可能性があります。 | 5.9 |
CVE 2025-05-10 03:00:04.644754 |
| CVE-2025-0353 | Divi Torque Lite - Best Divi Addon, Extensions, Modules & Social Modules plugin for WordPress には、4.1.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、いくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-09 09:00:08.192508 |
| CVE-2024-13561 | WordPress 用の Target Video Easy Publish プラグインは、3.8.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの brid_override_yt ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-09 09:00:08.188871 |
| CVE-2024-13696 | Flexible Wishlist for WooCommerce - Ecommerce Wishlist & Save for later plugin for WordPress は、1.2.25 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'wishlist_name' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-05-09 03:00:05.377867 |
| CVE-2024-12749 | コンペティションフォーム WordPress プラグイン 2.0 では、パラメータをページに出力する前にサニタイズとエスケープを行っていないため、管理者などの高権限ユーザーに対して使用される可能性のある Reflected Cross-Site Scripting が発生します。 | 7.1 |
CVE 2025-05-09 03:00:05.376938 |
| CVE-2025-0804 | ClickWhale - Link Manager, Link Shortener and Click Tracker for Affiliate Links & Link Pages plugin for WordPress は、2.4.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、リンクタイトルを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-09 03:00:05.373635 |
| CVE-2024-13527 | Philantro - Donations and Donor Management plugin for WordPress は、5.3 までのすべてのバージョンにおいて、'donate' のようなプラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-08 09:00:05.572548 |
| CVE-2025-0321 | WordPress 用 ElementsKit Pro プラグインは、入力のサニタイズと出力のエスケープが不十分なため、3.7.8 までのすべてのバージョンにおいて、'url' パラメータを経由した DOM ベースの保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-08 03:00:05.113403 |
| CVE-2024-13521 | WordPress 用 MailUp Auto Subscription プラグインには、1.1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、mas_options 関数の nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-05-08 03:00:05.112746 |
| CVE-2024-13509 | WS Form LITE - Drag & Drop Contact Form Builder for WordPress プラグインは、1.10.13 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、url パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。注意: この脆弱性は 1.10.13 で部分的に修正され、1.10.14 で完全に修正されました。 | 7.2 |
CVE 2025-05-08 03:00:05.112002 |
| CVE-2024-13448 | WordPress 用 ThemeREX Addons プラグインは、2.32.3 までのすべてのバージョンにおいて、'trx_addons_uploads_save_data' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-05-08 03:00:05.110864 |
| CVE-2024-12807 | WordPressプラグインSocial Share Buttons for 2.7は、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）であっても、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-05-08 03:00:05.109823 |
| CVE-2024-12723 | 2.9.8までのInfility Global WordPressプラグインは、ページにパラメータを出力する前に、パラメータをサニタイズおよびエスケープしていません。 | 6.1 |
CVE 2025-05-08 03:00:05.108525 |
| CVE-2024-11135 | WordPress 用 Eventer プラグインは、3.9.8 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、「eventer_get_attendees」関数の「event」パラメータを介して SQL インジェクションの脆弱性があります。これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-05-08 03:00:05.105884 |
| CVE-2024-13117 | WordPressプラグインSocial Share Buttons for 2.7では、認証されていないユーザーが任意の画像をアップロードし、その画像がアップロードされるパスを変更することができます。 | 6.5 |
CVE 2025-05-07 03:00:05.015672 |
| CVE-2024-13116 | 1.4.7より前のCrelly Slider WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）であっても、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.8 |
CVE 2025-05-07 03:00:05.014909 |
| CVE-2024-13095 | 2.5.3までのWP Triggers Lite WordPressプラグインは、SQL文でパラメータを使用する前にパラメータをサニタイズおよびエスケープしないため、管理者がSQLインジェクション攻撃を実行できる。 | 4.8 |
CVE 2025-05-07 03:00:05.014121 |
| CVE-2024-13094 | 2.5.3までのWP Triggers Lite WordPressプラグインは、パラメータをページに出力する前にサニタイズとエスケープを行わないため、管理者などの高権限ユーザーに対して使用される可能性のある、反射型クロスサイトスクリプティングを引き起こします。 | 7.1 |
CVE 2025-05-07 03:00:05.013352 |
| CVE-2024-13057 | Dyn Business Panel WordPress プラグイン（1.0.0）には CSRF チェックがない箇所があり、サニタイズとエスケープが欠落しているため、攻撃者はログインした管理者に CSRF 攻撃で Stored XSS ペイロードを追加させることができます。 | 7.1 |
CVE 2025-05-07 03:00:05.012086 |
| CVE-2024-13056 | Dyn Business Panel WordPress プラグイン（1.0.0）は、ページ内にパラメータを出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 | 7.1 |
CVE 2025-05-07 03:00:05.010721 |
| CVE-2024-13055 | Dyn Business Panel WordPress プラグイン（1.0.0）は、ページ内にパラメータを出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 | 7.1 |
CVE 2025-05-07 03:00:05.009133 |
| CVE-2024-13052 | Dental Optimizer Patient Generator App WordPressプラグイン1.0では、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしていないため、管理者などの高権限ユーザーに対して使用される可能性のある、反射型クロスサイトスクリプティングが発生します。 | 7.1 |
CVE 2025-05-07 03:00:05.007904 |
| CVE-2024-12774 | Altra Side Menu WordPress プラグイン 2.0 には CSRF チェックがない箇所があり、CSRF 攻撃によりログインした管理者に任意のメニューを削除させられる可能性がある。 | 6.5 |
CVE 2025-05-07 03:00:05.006723 |
| CVE-2024-12773 | Altra Side Menu WordPress プラグイン 2.0 では、SQL 文でパラメータを使用する前にパラメータをサニタイズおよびエスケープしていないため、管理者が SQL インジェクション攻撃を行うことができます。 | 7.2 |
CVE 2025-05-07 03:00:05.005504 |
| CVE-2024-12436 | 8.2.4 までの WP Customer Area WordPress プラグインには CSRF チェックがない箇所があり、CSRF 攻撃によってログインしたユーザーに不要なアクションを実行させられる可能性があります。 | 4.3 |
CVE 2025-05-07 03:00:05.004222 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.