WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13696 | Flexible Wishlist for WooCommerce - Ecommerce Wishlist & Save for later plugin for WordPress は、1.2.25 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'wishlist_name' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-19 09:00:09.488977 |
| CVE-2024-10574 | 8.8.0（Business）、21.8.0（Developer）、31.8.0（Agency）までのすべてのバージョンにおいて、'ays_save_google_credentials'関数の機能チェックが欠落しているため、WordPress用のQuiz Maker Business、Developer、Agencyプラグインには、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がプラグインの設定内で Google Sheets の統合認証情報を変更することが可能になります。client_id'パラメータは出力で使用される際にサニタイズまたはエスケープされないため、この脆弱性は、ユーザーが注入されたページにアクセスするたびに実行されるページ内の任意のWebスクリプトを注入するためにも活用される可能性があります。 | 7.2 |
CVE 2025-11-19 03:00:09.063714 |
| CVE-2025-7965 | 1.2.1までのCBX Restaurant Booking WordPressプラグインは、設定を更新する際にCSRFチェックが行われていないため、CSRF攻撃によってログインした管理者に設定を変更させられる可能性がある。 | 4.3 |
CVE 2025-11-19 03:00:08.866448 |
| CVE-2025-0511 | WordPress 用 Welcart e-Commerce プラグインは、2.11.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'name' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-18 23:00:08.399198 |
| CVE-2024-12773 | Altra Side Menu WordPress プラグイン 2.0 では、SQL 文でパラメータを使用する前にパラメータをサニタイズおよびエスケープしていないため、管理者が SQL インジェクション攻撃を行うことができます。 | 7.2 |
CVE 2025-11-18 09:00:06.855057 |
| CVE-2025-3300 | WPMasterToolKit (WPMTK) - All in one plugin plugin for WordPress には、2.5.2 までのすべてのバージョンにおいて Directory Traversal の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、機密情報を含む可能性のあるサーバ上の任意のファイルの内容を読み取り、変更することが可能になります。 | 7.2 |
CVE 2025-11-18 03:00:14.483269 |
| CVE-2024-12599 | HT Mega - Absolute Addons For Elementor plugin for WordPress は、2.8.1 までのすべてのバージョンにおいて、プラグインのカウントダウンウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-17 23:00:11.264978 |
| CVE-2024-12600 | WordPress 用 WooCommerce プラグイン Custom Product Tabs Lite には、1.9.0 までのすべてのバージョンにおいて、 'frs_woo_product_tabs' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、ショップマネージャレベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、 機密データを取得したり、コードを実行したりできる可能性があります。 | 7.2 |
CVE 2025-11-17 09:00:12.004248 |
| CVE-2025-7726 | WordPress 用テーマ The7 には、入力のサニタイズと出力のエスケープが不十分なため、12.6.0 までのすべてのバージョンにおいて、ライトボックスのレンダリングコードを経由した Stored Cross-Site Scripting の脆弱性があります。このテーマのJavaScriptは、jQuery.attr()を使用してユーザーから提供された'title'属性と'data-dt-img-description'属性を直接読み取り、それらをHTML文字列に連結し、エスケープやフィルタリングを行わずにjQuery.html()などのメソッドを使用してその文字列をDOMに挿入します。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-17 09:00:11.824254 |
| CVE-2024-9664 | WordPress 用 WP All Import Pro プラグインは、4.9.7 までのすべてのバージョンにおいて、 インポートファイルからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。ターゲットシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-11-17 03:00:12.342607 |
| CVE-2025-0428 | WordPress 用プラグイン "AI Power：WordPress 用プラグイン "Complete AI Pack" には、1.8.96 までのバージョンにおいて、 wpaicg_export_prompts 関数を通じて $form['post_content'] 変数から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者が PHP Object を注入することが可能となります。脆弱なプラグインには POP チェーンが存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在すると、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-11-16 09:00:08.877920 |
| CVE-2025-4796 | WordPress 用 Eventin プラグインは、4.0.34 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、'EventinSpeakerController::update_item' 関数で電子メールなどの詳細を更新する前に、プラグインがユーザの身元や能力を適切に検証しないためです。このため、投稿者レベル以上の権限を持つ認証されていない攻撃者が、管理者を含む任意のユーザーのメールアドレスを変更し、そのユーザーのパスワードをリセットしてアカウントにアクセスできるようになります。 | 8.8 |
CVE 2025-11-16 09:00:06.523767 |
| CVE-2024-8699 | 1.11.5より前のZ-Downloads WordPressプラグインは、アップロードされたファイルを適切に検証しないため、管理者のような高い権限を持つユーザーが、許可されていないにもかかわらず、サーバー上に任意のファイルをアップロードできてしまいます（マルチサイト設定など）。 | 7.2 |
CVE 2025-11-16 03:00:13.832258 |
| CVE-2025-6572 | 1.2.0までのOpenStreetMap for Gutenberg and WPBakery Page Builder (formerly Visual Composer) WordPressプラグインは、ブロックが埋め込まれているページ/投稿に出力する前に、ブロックオプションの一部を検証およびエスケープしません。 | 5.9 |
CVE 2025-11-16 03:00:13.663161 |
| CVE-2025-54940 | 6.4.3以前のWordPressプラグイン「Advanced Custom Fields」にHTMLインジェクションの脆弱性が存在します。この脆弱性が悪用された場合、細工された HTML コードがレンダリングされ、ページの表示が改ざんされる可能性があります。 | 3.4 |
CVE 2025-11-16 03:00:13.659056 |
| CVE-2025-0429 | WordPress 用プラグイン "AI Power：WordPress 用プラグイン "Complete AI Pack" には、1.8.96 までのバージョンにおいて、 wpaicg_export_ai_forms() 関数を通じて $form['post_content'] 変数から信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者権限を持つ認証済みの攻撃者が PHP Object を注入することが可能となります。脆弱なプラグインには POP チェーンが存在しません。対象のシステムにインストールされた追加のプラグインやテーマを通じて POP チェーンが存在する場合、攻撃者に任意のファイルの削除や機密データの取得、コードの実行を許してしまう可能性があります。 | 7.2 |
CVE 2025-11-15 23:00:04.509098 |
| CVE-2024-13890 | WordPress の Allow PHP Execute プラグインは、1.0 までのすべてのバージョンにおいて PHP コードインジェクションの脆弱性があります。これは、フィルタリングされていない HTML が許可されているすべてのユーザが PHP コードを入力できるようにしているためです。このため、エディタレベル以上のアクセス権を持つ認証済みの攻撃者は、投稿やページにPHPコードを注入することが可能です。 | 7.2 |
CVE 2025-11-15 09:00:06.742989 |
| CVE-2025-0957 | SMTP for Amazon SES - YaySMTP plugin for WordPress は、1.7.1 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-15 03:00:05.534341 |
| CVE-2025-8620 | GiveWP - Donation Plugin and Fundraising Platform plugin for WordPress は、4.6.0 までのすべてのバージョンにおいて、情報漏えいの脆弱性があります。これにより、認証されていない攻撃者が寄付者の名前、Eメール、寄付者IDを抽出することが可能になってしまいます。 | 5.3 |
CVE 2025-11-14 09:00:11.385688 |
| CVE-2025-7727 | WordPress 用 Gutenverse プラグインは、3.1.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザー提供属性の出力エスケープが不十分なため、プラグインの Animated Text および Fun Fact ブロックを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-14 03:00:06.124022 |
| CVE-2025-8100 | WordPress 用 Element Pack Elementor Addons and Templates プラグインは、8.1.5 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'marker_content' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2025-11-14 03:00:06.123288 |
| CVE-2025-7498 | Exclusive Addons for Elementor plugin for WordPress は、2.7.9.4 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、カウントダウンウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-14 03:00:06.122206 |
| CVE-2025-7399 | WordPress 用 Betheme テーマには、28.1.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Elementor の表示設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-14 03:00:06.121270 |
| CVE-2025-6994 | smartdatasoft による WordPress 用の Reveal Listing プラグインには、3.3 までのバージョンにおいて特権昇格の脆弱性があります。これは、このプラグインが新規アカウントを登録するユーザが自分のロールを設定したり、'listing_user_role' フィールドを与えることを許可しているためです。これにより、認証されていない攻撃者が管理者ロールのアカウントを作成することで、昇格した特権を獲得することが可能になります。 | 9.8 |
CVE 2025-11-14 03:00:06.120103 |
| CVE-2025-8595 | WordPress 用 Zakra テーマには、4.1.5 までのすべてのバージョンにおいて welcome_notice_import_handler() 関数の機能チェックが欠落しているため、不正にデータを変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、デモの設定をインポートすることが可能になります。 | 4.3 |
CVE 2025-11-14 03:00:06.119346 |
| CVE-2025-8420 | WordPress 用の Request a Quote Form プラグインは、2.5.2 以下のバージョンにおいて emd_form_builder_lite_pagenum 関数を経由したリモートコード実行の脆弱性があります。これは、プラグインが関数名として使用する前にユーザ入力を適切に検証していないことが原因です。このため、認証されていない攻撃者がサーバ上でコードを実行することが可能ですが、呼び出された関数にパラメータを渡すことはできません。 | 8.1 |
CVE 2025-11-14 03:00:06.116230 |
| CVE-2025-7502 | WordPress 用プラグイン WPBakery Page Builder for WordPress には、8.5 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、いくつかのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-13 23:00:18.209531 |
| CVE-2025-7036 | WordPress用CleverReach® WPプラグインは、1.5.20までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存のSQLクエリの準備が不十分であるため、'title'パラメータを介して時間ベースのSQLインジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-11-13 23:00:18.208311 |
| CVE-2025-6986 | WordPress 用 FileBird - WordPress Media Library Folders & File Manager プラグインは、6.4.8 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'search' パラメータを介して SQL インジェクションを受ける脆弱性があります。 このため、Authorレベル以上のアクセス権を持つ認証済みの攻撃者が、既存のクエリに追加のSQLクエリを追加し、データベースから機密情報を抽出するために使用することが可能です。 | 6.5 |
CVE 2025-11-13 23:00:18.206946 |
| CVE-2025-6690 | WordPress 用 WP Tournament Registration プラグインは、1.3.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'field' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-13 23:00:18.205713 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.