WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-5084 | WordPress 用 Post Grid Master プラグインは、3.4.13 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'argsArray['read_more_text']' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブ・スクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-11-01 09:00:05.680792 |
| CVE-2025-4608 | WordPress 用の Structured Content プラグインは、1.6.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの sc_fs_local_business ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-01 09:00:05.679156 |
| CVE-2025-3669 | WordPress用プラグインSupreme Addons for Beaver Builderは、1.0.9までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのauto_qrcodesabbショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-01 09:00:05.648776 |
| CVE-2025-8009 | Security Ninja - WordPress Security Plugin & Firewall plugin for WordPress には、5.242 までのすべてのバージョンにおいて、'get_file_source' 関数を介した任意のファイル読み込みの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上のあらゆるファイルの内容を含む機密データを抽出することが可能になります。 | 4.9 |
CVE 2025-11-01 03:00:07.330247 |
| CVE-2025-7852 | WordPress 用 WPBookit プラグインは、1.0.6 までのすべてのバージョンにおいて、'add_new_customer' ルートを経由してフックされる image_upload_handle() 関数にファイルタイプ検証の欠落があるため、任意のファイルをアップロードされる脆弱性があります。このプラグインの image-upload ハンドラは、許可される拡張子や MIME タイプを制限することなく、またファイル名をサニタイズすることなく、クライアントから提供されたファイルに対して move_uploaded_file() を呼び出します。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-11-01 03:00:07.328125 |
| CVE-2025-7437 | WordPress 用 Ebook Store プラグインは、5.8012 までのすべてのバージョンにおいて、 ebook_store_save_form 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-11-01 03:00:07.326857 |
| CVE-2025-4968 | WPBakery Page Builder for WordPress プラグインは、8.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のページビルダー要素（Copyright Element、Hover Box、Separator With Text、FAQ、Single Image、Custom Header、Button、Call To Action、Progress Bar、Pie Chart、Round Chart、Line Chart）を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-11-01 03:00:07.317511 |
| CVE-2025-6174 | Qwizcards｜オンラインクイズとフラッシュカードのWordPressプラグイン3.9.4では、"_stylesheet "パラメータをページ内に出力する前にサニタイズとエスケープを行っていないため、Reflected Cross-Site Scriptingが発生し、管理者やその他のユーザーなどの高権限ユーザーに対して使用される可能性があります。 | 6.1 |
CVE 2025-10-31 03:00:07.841660 |
| CVE-2025-7722 | WordPress 用の Social Streams プラグインは、1.0.1 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、update_user_meta() 関数でユーザのメタ情報を更新する前に、プラグインがユーザの身元を適切に検証しないためです。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ユーザタイプを管理者に変更することが可能です。 | 8.8 |
CVE 2025-10-31 03:00:07.840490 |
| CVE-2025-6261 | WordPress 用 Fleetwire Fleet Management プラグインは、1.0.19 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの fleetwire_list ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-31 03:00:07.839420 |
| CVE-2025-6215 | WordPress 用 Omnishop プラグインは、1.0.9 までのすべてのバージョンにおいて、Unauthenticated Registration Bypass の脆弱性があります。その /users/register エンドポイントは一般に公開されており (permission_callback は常に true を返します)、サイトの users_can_register オプションと nonce または CAPTCHA チェックを無視して wp_create_user() を無条件に呼び出します。このため、認証されていない攻撃者は、登録がクローズされるべきサイトで任意のユーザーアカウント（顧客）を作成することが可能です。 | 5.3 |
CVE 2025-10-31 03:00:07.838159 |
| CVE-2025-6214 | WordPress 用 Omnishop プラグインは、1.0.9 までのすべてのバージョンにおいて、 /users/delete REST ルートに Cross-Site Request Forgery の脆弱性があります。このルートの permission_callback は、要求者がログインしていることを検証するだけで、nonce やその他の意図の証明を要求しません。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストによって任意のユーザーアカウントを削除することが可能です。 | 6.5 |
CVE 2025-10-31 03:00:07.837410 |
| CVE-2025-6190 | WordPress 用の Realty Portal - Agent プラグインは、バージョン 0.1.0 から 0.3.9 までの rp_user_profile() AJAX ハンドラ内の認可が欠落しているため、特権昇格の脆弱性があります。このハンドラは、クライアントから提供された meta のキーと値のペアを $_POST から読み込み、安全なホワイトリストに制限することなく update_user_meta() に直接渡します。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が wp_capabilities メタを上書きし、自分自身に管理者ロールを付与することが可能になります。 | 8.8 |
CVE 2025-10-31 03:00:07.836699 |
| CVE-2025-6054 | WordPress 用 YANewsflash プラグインには、1.0.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'yanewsflash/yanewsflash.php' ページの nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-10-31 03:00:07.835439 |
| CVE-2025-5818 | WordPress 用の Featured Image Plus - Quick & Bulk Edit with Unsplash プラグインは、1.6.4 までのすべてのバージョンにおいて、fip_get_image_options() 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 5.5 |
CVE 2025-10-31 03:00:07.832502 |
| CVE-2025-5753 | WordPress 用 Valuation Calculator プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.3.2 までのすべてのバージョンにおいて、'link' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-31 03:00:07.829172 |
| CVE-2025-8015 | WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress は、7.4.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、アップロードされた画像の 'Title' フィールドと 'Slide link' フィールドを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Authorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-30 09:00:07.522273 |
| CVE-2025-7692 | WordPress用Orion Login with SMSプラグインは、1.0.5までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、olws_handle_verify_phone() 関数が十分な強度の OTP 値を利用しておらず、OTP 値を生成するために必要なハッシュが公開されており、コードを送信する試行回数に制限がないことが原因です。これにより、認証されていない攻撃者が電話番号にアクセスできれば、管理者を含む他のユーザーとしてログインすることが可能になってしまう。 | 8.1 |
CVE 2025-10-30 09:00:07.521557 |
| CVE-2025-7687 | WordPress 用の Latest Post Accordian Slider プラグインには、1.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'lpaccordian' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-10-30 09:00:07.520280 |
| CVE-2025-7685 | WordPress 用の Like & Share My Site プラグインは、0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'lsms_admin' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-10-30 09:00:07.519054 |
| CVE-2025-6213 | WordPress 用 Nginx Cache Purge Preload プラグインは、2.1.1 までの全てのバージョンにおいて、'nppp_preload_cache_on_update' 関数を経由したリモートコード実行の脆弱性があります。これは、'nppp_handle_fastcgi_cache_actions_admin_bar' 関数から渡される $_SERVER['HTTP_REFERER'] パラメータのサニタイズが不十分なためです。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上でコードを実行する可能性があります。 | 7.2 |
CVE 2025-10-30 09:00:07.518040 |
| CVE-2025-6187 | WordPress 用 bSecure プラグインは、バージョン 1.3.7 から 1.7.9 において、order_info REST エンドポイント内の認可が欠落しているため、特権昇格の脆弱性があります。このプラグインは /webhook/v2/order_info/ ルートに permission_callback を登録し、常に true を返します。このため、ユーザの電子メールを知っている認証されていない攻撃者が、有効なログイン・クッキーを取得し、そのアカウントに完全になりすますことが可能になります。 | 9.8 |
CVE 2025-10-30 09:00:07.516777 |
| CVE-2025-6082 | WordPress 用の Birth Chart Compatibility プラグインは、2.0 までのすべてのバージョンにおいて、 フルパス公開の脆弱性があります。これは、プラグインの index.php ファイルへの直接アクセスに対する保護が不十分なためで、フルパスが公開されるエラーが発生します。これにより、認証されていない攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 5.3 |
CVE 2025-10-30 09:00:07.489211 |
| CVE-2025-7645 | WordPress 用 Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) プラグインは、3.2.8 までのすべてのバージョンにおいて、'delete-file' フィールドにおけるファイルパスのバリデーションが不十分なため、任意のファイルを削除される脆弱性があります。これにより、管理者が投稿を削除した際に、認証されていない攻撃者がサーバ上の任意のファイルを削除することが可能となり、適切なファイル（wp-config.php など）が削除された場合に、容易にリモートでコードが実行される可能性があります。 | 8.1 |
CVE 2025-10-30 03:00:04.764751 |
| CVE-2025-7644 | WordPress 用 Pixel Gallery Addons for Elementor - Easy Grid, Creative Gallery, Drag and Drop Grid, Custom Grid Layout, Portfolio Gallery プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.6.7 までのすべてのバージョンにおいて、すべてのウィジェットの URL を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-30 03:00:04.763416 |
| CVE-2025-7495 | WordPress 用 WP-Members Membership Plugin プラグインは、3.5.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'wpmem_login_link' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-30 03:00:04.761735 |
| CVE-2025-6585 | WordPress 用 WP JobHunt プラグインは、cs_remove_profile_callback() 関数を経由する、7.2 までのすべてのバージョンにおいて、ユーザが制御するキーのバリデーションが欠落しているため、Insecure Direct Object Reference の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、管理者を含む他のユーザのアカウントを削除することが可能になります。 | 8.1 |
CVE 2025-10-30 03:00:04.738036 |
| CVE-2025-6831 | WordPress 用 User Registration プラグインは、4.2.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの urcr_restrict ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 23:00:28.599046 |
| CVE-2025-5240 | CRM and Lead Management by vcita plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、2.7.5 までのすべてのバージョンにおいて、'type' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 23:00:28.597339 |
| CVE-2015-10137 | WordPress 用の Website Contact Form With File Upload プラグインは、1.3.4 までのバージョンにおいて、'upload_file()' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-29 23:00:28.596199 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.