WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8795 | WordPress 用 BA Book Everything プラグインには、1.6.20 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、my_account_update() 関数における nonce バリデーションの欠落または不正確さが原因です。このため、認証されていない攻撃者が、サイト管理者を騙ってリンクをクリックするなどのアクションを実行させ、偽のリクエストでユーザのアカウント詳細を更新することが可能です。これを利用して、ユーザのパスワードをリセットし、アカウントにアクセスすることができます。 | 8.8 |
CVE 2025-01-01 23:00:04.373392 |
| CVE-2024-8738 | WordPress 用の Seriously Simple Stats プラグインは、1.6.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.372799 |
| CVE-2024-8716 | WordPress 用プラグイン XT Ajax Add To Cart for WooCommerce は、1.1.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.372179 |
| CVE-2024-8662 | WordPress 用 Koko Analytics プラグインは、1.3.12 までのすべてのバージョンにおいて、URL に適切なエスケープを施さずに add_query_arg を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.371442 |
| CVE-2024-8657 | WordPress 用 Garden Gnome Package プラグインは、2.2.9 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが 不十分であるため、プラグインの ggpkg ショートコードを経由した Stored クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-01-01 23:00:04.370774 |
| CVE-2024-8544 | WordPress 用 Pixel Cat - Conversion Pixel Manager プラグインは、3.0.5 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-01-01 23:00:04.370006 |
| CVE-2024-8432 | Appointment & Event Booking Calendar Plugin - Webba Booking plugin for WordPress は、5.0.48 までのすべてのバージョンにおいて、 save_appearance() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、予約フォームのCSSを変更することが可能です。 | 4.3 |
CVE 2025-01-01 23:00:04.366733 |
| CVE-2024-5284 | 6.5.1 より前の wp-affiliate-platform WordPress プラグインには CSRF チェックがない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者に CSRF 攻撃で Stored XSS ペイロードを追加させることができる。 | 6.8 |
CVE 2025-01-01 03:00:05.418483 |
| CVE-2024-8758 | 9.1.3より前のQuiz and Survey Master (QSM) WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーが（マルチサイト設定などで）ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-01-01 03:00:05.246664 |
| CVE-2024-5077 | 10.6.6より前のwp-eMember WordPressプラグインは、CSRFチェックをいくつかの場所で行っておらず、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができる。 | 6.8 |
CVE 2024-12-31 23:00:07.981688 |
| CVE-2024-7863 | 2.1以前のFavicon Generator (CLOSED) WordPressプラグインは、アップロードされるファイルを検証せず、CSRFチェックも行っていないため、攻撃者はログインした管理者にサーバー上のPHPなどの任意のファイルをアップロードさせることができる。 | 6.8 |
CVE 2024-12-31 09:00:08.140087 |
| CVE-2024-5784 | WordPress 用 Tutor LMS Pro プラグインは、2.7.2 までのすべてのバージョンにおいて、treport_quiz_atttempt_delete や tutor_gc_class_action のような複数の関数の機能チェックが欠落しているため、無許可で管理者操作を実行される脆弱性があります。これにより、購読者レベル以上のアクセス権を持つ認証された攻撃者が、コメントや投稿、ユーザーの削除、通知の閲覧など、サイト上の管理操作を実行することが可能になってしまいます。 | 7.1 |
CVE 2024-12-30 23:00:08.461653 |
| CVE-2024-5715 | 10.6.7以前のwp-eMember WordPressプラグインは、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしていません。 | 7.1 |
CVE 2024-12-30 09:00:10.638405 |
| CVE-2024-8680 | WordPress 用プラグイン MC4WP: Mailchimp for WordPress には、4.9.16 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2024-12-30 09:00:10.516442 |
| CVE-2024-5151 | 4.3.1以前のSULly WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 7.1 |
CVE 2024-12-30 03:00:05.332623 |
| CVE-2024-43256 | この問題は、n/a から 2.0.36 までの Leopard - WordPress オフロードメディアに影響します。 | 7.1 |
CVE 2024-12-29 23:00:06.476929 |
| CVE-2024-5472 | 3.8.7より前のWP QuickLaTeX WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 7.1 |
CVE 2024-12-29 09:00:07.622116 |
| CVE-2024-6000 | WordPress 用 FooEvents for WooCommerce プラグインは、1.19.20 までのバージョンにおいて、'display_ticket_themes_page' 関数の不適切な機能設定により、無許可で任意のファイルをアップロードされる脆弱性があります。これにより、投稿者レベル以上の能力を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。この問題は 1.19.20 で部分的に修正され、1.19.21 で完全に修正されました。 | 7.1 |
CVE 2024-12-29 03:00:07.304485 |
| CVE-2024-8853 | WordPress 用の Webo-facto プラグインは、1.40 までのバージョンにおいて、 'doSsoAuthentification' 関数の制限が不十分なため、特権昇格の脆弱性があります。これにより、認証されていない攻撃者が '-wfuser' を含むユーザ名で登録することで、自分自身を管理者にすることが可能になります。 | 9.8 |
CVE 2024-12-29 03:00:07.119498 |
| CVE-2024-5287 | 6.5.1 より前の wp-affiliate-platform WordPress プラグインでは、設定を更新する際に CSRF チェックが行われていないため、攻撃者はログインしているユーザーに CSRF 攻撃で設定を変更させることができます。 | 7.1 |
CVE 2024-12-28 03:00:06.092659 |
| CVE-2024-8850 | MC4WP: Mailchimp for WordPress プラグインは、バージョン 4.9.9 から 4.9.16 において、入力のサニタイズと出力のエスケープが不十分なため、{email} のようなプレースホルダがフィールドに使用されている場合、'email' パラメータ経由で Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2024-12-28 03:00:05.923607 |
| CVE-2024-8364 | WordPress 用 WP Custom Fields Search プラグインは、1.2.35 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの wpcfs-preset ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-12-28 03:00:05.922773 |
| CVE-2022-4533 | WordPress 用の Limit Login Attempts Plus プラグインは、1.1.0 までのバージョンにおいて IP アドレス詐称の脆弱性があります。これは、リクエストのロギングとログイン制限のために IP アドレス情報を取得する場所の制限が不十分なためです。攻撃者は X-Forwarded-For ヘッダにログに記録される別の IP アドレスを入力することができ、IP アドレスや国によるログインをブロックする設定を回避するために使用することができます。 | 5.3 |
CVE 2024-12-28 03:00:05.920275 |
| CVE-2024-1937 | WordPress 用 Brizy - Page Builder プラグインは、2.4.44 までのすべてのバージョンにおいて、'update_item' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、投稿者以上のアクセス権を持つ認証済みの攻撃者は、悪意のある JavaScript を挿入する機能を含む、任意の公開投稿の内容を変更することが可能です。 | 7.1 |
CVE 2024-12-27 23:00:06.899114 |
| CVE-2024-6529 | 1.4以前のUltimate Classified Listings WordPressプラグインは、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、管理者のような高権限ユーザーに対して使用される可能性のあるReflected Cross-Site Scriptingが発生します。 | 7.1 |
CVE 2024-12-27 09:00:13.799123 |
| CVE-2024-6641 | WordPress 用プラグイン WP Hardening - Fix Your WordPress Security には、1.2.6 までのすべてのバージョンにおいて、セキュリティ機能バイパスの脆弱性があります。これは、"Stop User Enumeration" 機能内で不正な正規表現が使用されていることが原因です。これにより、認証されていない攻撃者が意図されたセキュリティ制限を迂回し、サイトのユーザー名を公開することが可能になります。 | 5.3 |
CVE 2024-12-27 03:00:06.140036 |
| CVE-2024-8761 | WordPress 用 Share This Image プラグインには、2.03 までのすべてのバージョンにおいて Open Redirect の脆弱性があります。これは link パラメータで指定されたリダイレクト URL の検証が不十分なためです。このため、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトへリダイレクトさせることが可能になります。 | 7.2 |
CVE 2024-12-26 09:00:04.385271 |
| CVE-2024-4531 | 1.0.0までのBusiness Card WordPressプラグインにはCSRFチェックがない箇所があり、CSRF攻撃によりログインしているユーザーにカードの編集などの不要なアクションを実行させられる可能性がある。 | 7.1 |
CVE 2024-12-26 03:00:06.152349 |
| CVE-2024-8490 | WordPress 用 PropertyHive プラグインは、2.0.19 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'save_account_details' 関数の nonce 検証の欠落または不正確さによるものです。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙ることができる偽造リクエストによって、管理者アカウントの名前、メールアドレス、パスワードを編集することが可能です。 | 8.8 |
CVE 2024-12-26 03:00:06.016681 |
| CVE-2024-8093 | 0.20までのPosts reminder WordPressプラグインは、設定を更新する際にCSRFチェックを行っていないため、攻撃者はログインした管理者にCSRF攻撃で設定を変更させることができる。 | 6.5 |
CVE 2024-12-26 03:00:06.016044 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.