WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-6455 | WordPress 用 Elementor アドオン プラグイン ElementsKit には、ekit_widgetarea_content 関数の機能チェックが欠落しているため、3.2.0 までのすべてのバージョンにおいて情報漏えいの脆弱性があります。このため、認証されていない攻撃者は、投稿、ページ、テンプレートなど、Elementor で作成されたすべてのアイテム（下書き、保留中、非公開アイテムを含む）を閲覧することが可能です。 | 5.3 |
CVE 2024-10-26 09:00:04.528035 |
| CVE-2024-5555 | WordPress 用 Element Pack Elementor Addons (Header Footer, Template Library, Dynamic Grid & Carousel, Remote Arrows) プラグインは、5.6.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'social-link-title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-10-26 09:00:04.527378 |
| CVE-2024-5554 | WordPress 用 Element Pack Elementor Addons (Header Footer, Template Library, Dynamic Grid & Carousel, Remote Arrows) プラグインは、5.6.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'onclick_event' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-10-26 09:00:04.526401 |
| CVE-2024-3242 | WordPress 用 Brizy - Page Builder プラグインは、2.4.43 までのすべてのバージョンにおいて、 storeImages を介して呼び出される validateImageContent 関数のファイル拡張子検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、コントリビューター以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートでコードを実行される可能性があります。バージョン2.4.44では、.shと.phpで終わるファイルのアップロードができなくなりました。バージョン2.4.45では、この問題を完全に修正しています。 | 8.8 |
CVE 2024-10-26 09:00:04.522877 |
| CVE-2024-6164 | 2.8.33以前のFilter & Grids WordPressプラグインには、post_layoutパラメータを経由したローカルファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバ上の PHP ファイルをインクルードして実行することが可能となり、ファイル内の任意の PHP コードの実行を許してしまいます。 | 9.8 |
CVE 2024-10-26 03:00:04.561941 |
| CVE-2023-6708 | WordPress 用 SVG Support プラグインは、2.5.5 までのすべてのバージョンにおいて、'Sanitize SVG while uploading' 機能が有効になっている場合でも、入力のサニタイズと出力のエスケープが不十分なため、SVG アップロード機能を経由した Stored Cross-Site Scripting の脆弱性があります。このため、作者レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のウェブ・スクリプトをページに注入することが可能であり、ユーザーが注入されたページにアクセスするたびに実行されます。この脆弱性の悪用を成功させるには、管理者が作者レベルのユーザにSVGファイルのアップロードを許可する必要があることに注意してください。 | 5.4 |
CVE 2024-10-26 03:00:04.559182 |
| CVE-2024-6705 | WordPress 用 RegLevel プラグインは、1.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2024-10-25 23:00:07.812556 |
| CVE-2024-6599 | WordPress 用 Meks Video Importer プラグインは、1.0.11 までのすべてのバージョンで ajax_save_settings 関数の機能チェックが欠落しているため、API キーが不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者がプラグインの API キーを変更することが可能です。 | 4.3 |
CVE 2024-10-25 23:00:07.811879 |
| CVE-2024-6175 | WordPress 用 Booking Ultra Pro Appointments Booking Calendar Plugin プラグインは、1.1.13 までのすべてのバージョンにおいて、複数の機能の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、支払い、価格、予約情報、営業時間、カレンダー、プロフィール情報、メールテンプレートなどの複数のプラグインオプションやデータを変更および削除することが可能になります。 | 5.4 |
CVE 2024-10-25 23:00:07.811179 |
| CVE-2024-5964 | WordPress 用 Zenon Lite テーマには、入力のサニタイズと出力のエスケープが不十分なため、1.9 までのすべてのバージョンにおいて、テーマの Button ショートコード内の 'url' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2024-10-25 23:00:07.810399 |
| CVE-2024-5726 | WordPress 用 Timeline Event History プラグインは、3.1 までのすべてのバージョンにおいて、信頼できない入力 'timelines-data' パラメータのデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入することが可能です。脆弱なソフトウェアには、既知の POP チェーンは存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在する場合、攻撃者が任意のファイルを削除したり、機密データを取得したり、コードを実行したりできる可能性があります。 | 8.8 |
CVE 2024-10-25 23:00:07.809655 |
| CVE-2024-39682 | Cooked は WordPress 用のレシピプラグインです。WordPress 用 Cooked プラグインは、1.7.15.4 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、HTML インジェクションの脆弱性があります。この脆弱性により、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者は、ユーザが侵害されたページにアクセスするたびに表示されるページに任意の HTML を注入することができます。この問題はリリースバージョン1.8.0で対処されています。ユーザはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。 | 6.4 |
CVE 2024-10-25 23:00:07.808889 |
| CVE-2024-39681 | Cooked は WordPress 用のレシピプラグインです。WordPress 用 Cooked プラグインは、1.7.15.4 までのバージョンにおいて、AJAX アクションハンドラの nonce 検証の欠落または不正確さにより、Cross-Site Request Forgery (CSRF) の脆弱性があります。この脆弱性により、攻撃者はユーザーを騙して、現在の認証では意図しないアクションを実行させることができます。この問題はリリースバージョン1.8.0で対処されています。ユーザはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。 | 5.4 |
CVE 2024-10-25 23:00:07.808160 |
| CVE-2024-39680 | Cooked は WordPress 用のレシピプラグインです。WordPress 用 Cooked プラグインは、1.7.15.4 までのバージョンにおいて、AJAX アクションハンドラの nonce 検証の欠落または不正確さにより、Cross-Site Request Forgery (CSRF) の脆弱性があります。この脆弱性により、攻撃者はユーザーを騙して、現在の認証では意図しないアクションを実行させることができます。この問題はリリースバージョン1.8.0で対処されています。ユーザはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。 | 5.4 |
CVE 2024-10-25 23:00:07.807405 |
| CVE-2024-39679 | Cooked は WordPress 用のレシピプラグインです。WordPress 用 Cooked プラグインは、1.7.15.4 までのバージョンにおいて、AJAX アクションハンドラの nonce 検証の欠落または不正確さにより、Cross-Site Request Forgery (CSRF) の脆弱性があります。この脆弱性により、攻撃者はユーザーを騙して、現在の認証で意図しないアクションを実行させることができます。この問題はリリースバージョン1.8.0で対処されています。ユーザはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。 | 4.3 |
CVE 2024-10-25 23:00:07.806555 |
| CVE-2024-39678 | Cooked は WordPress のレシピプラグインです。Cooked プラグインは 1.7.15.4 までのバージョンにおいて、AJAX アクションハンドラの nonce 検証の欠落または不正確さにより、クロスサイトリクエストフォージェリ (CSRF) の脆弱性があります。この脆弱性により、攻撃者はユーザーを騙して、現在の認証では意図しないアクションを実行させることができます。この問題はリリースバージョン1.8.0で対処されています。ユーザはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。 | 4.3 |
CVE 2024-10-25 23:00:07.804152 |
| CVE-2024-6220 | WordPress 用 简体数采集器 (Keydatas) プラグインは、2.5.2 までのすべてのバージョンにおいて、 keydatas_downloadImages 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2024-10-25 03:00:18.807046 |
| CVE-2024-5703 | Email Subscribers by Icegram Express - Email Marketing, Newsletters, Automation for WordPress & WooCommerce plugin for WordPress には、5.7.26 までのすべてのバージョンにおいて、機能チェックが欠落しているため、不正な API アクセスを受ける脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が API にアクセスし（有効になっている場合）、視聴者ユーザーを追加、編集、削除することが可能です。 | 4.3 |
CVE 2024-10-25 03:00:18.806443 |
| CVE-2024-5582 | Schema & Structured Data for WP & AMP plugin for WordPress には、1.33 までのすべてのバージョンにおいて、Q&A Block ウィジェット内のプラグインの 'url' 属性を経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.805860 |
| CVE-2024-6669 | WordPress 用 AI ChatBot - WPBot プラグインは、5.5.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.8 |
CVE 2024-10-25 03:00:18.805322 |
| CVE-2024-6660 | BookingPress - Appointment Booking Calendar Plugin and Online Scheduling Plugin for WordPress は、1.1.5 までのすべてのバージョンにおいて、bookingpress_import_data_continue_process_func 関数の機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新し、任意のファイルをアップロードすることが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2024-10-25 03:00:18.804681 |
| CVE-2024-6467 | WordPress 用プラグイン BookingPress - Appointment Booking Calendar Plugin and Online Scheduling Plugin には、1.1.5 までのすべてのバージョンにおいて、'bookingpress_save_lite_wizard_settings_func' 関数を介した、任意のファイル読み込みから任意のファイル作成の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、サーバ上のファイルの内容を含む任意のファイルを作成することが可能となり、それらのファイル内の任意の PHP コードの実行や機密情報の漏洩を許すことになります。 | 8.8 |
CVE 2024-10-25 03:00:18.804099 |
| CVE-2024-6033 | Event Manager, Events Calendar, Tickets, Registrations - Eventin plugin for WordPress は、4.0.4 までのすべてのバージョンにおいて、'import_file' 関数の機能チェックが欠落しているため、不正にデータをインポートされる脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、イベント、講演者、スケジュール、参加者データをインポートすることが可能です。 | 4.3 |
CVE 2024-10-25 03:00:18.803488 |
| CVE-2024-5255 | WordPress 用の Ultimate Addons for WPBakery プラグインは、3.19.20 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの ultimate_dual_color ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.802925 |
| CVE-2024-5254 | WordPress 用の Ultimate Addons for WPBakery プラグインは、3.19.20 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性に対する出力のエスケープが不十分なため、プラグインの ultimate_info_banner ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.802301 |
| CVE-2024-5253 | WordPress 用の Ultimate Addons for WPBakery プラグインは、3.19.20 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの ult_team ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.801708 |
| CVE-2024-5252 | WordPress 用の Ultimate Addons for WPBakery プラグインは、3.19.20 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの ultimate_info_table ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.801079 |
| CVE-2024-5251 | WordPress 用の Ultimate Addons for WPBakery プラグインは、3.19.20 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの ultimate_pricing ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-10-25 03:00:18.798695 |
| CVE-2024-6621 | RSS Aggregator - RSS Import, News Feeds, Feed to Post, and Autoblogging plugin for WordPress は、4.23.11 までのすべてのバージョンにおいて、'wprss_activate_feed_source' および 'wprss_pause_feed_source' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、購読者レベル以上のアクセス権を持つ認証済みの攻撃者が、既存の RSS フィードをアクティブにしたり一時停止したりすることが可能になります。 | 4.3 |
CVE 2024-10-24 09:00:58.122244 |
| CVE-2024-6457 | HUSKY - Products Filter Professional for WooCommerce for WordPress プラグインは、1.3.6 までのすべてのバージョンにおいて、ユーザが提供したパラメータに対するエスケープが不十分であり、既存の SQL クエリに対する準備が不十分であるため、'woof_author' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、既に存在するクエリに追加することが可能になります。 | 9.8 |
CVE 2024-10-24 09:00:58.121639 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.