WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-12607 | WordPress 用 School Management System for Wordpress プラグインは、92.0.0 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、'mj_smgt_show_event_task' AJAX アクションの 'id' パラメータを介して SQL インジェクションの脆弱性があります。 これにより、Customレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-06-15 09:00:04.726739 |
| CVE-2024-12036 | WordPress 用 CS Framework プラグインは、6.9 までのすべてのバージョンにおいて、 get_widget_settings_json() 関数を経由した、任意のファイル読み込みの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。 | 7.5 |
CVE 2025-06-15 09:00:04.726060 |
| CVE-2024-10804 | WordPress 用プラグイン Ultimate Video Player WordPress & WooCommerce プラグインは、10.0 までのすべてのバージョンにおいて、content/downloader.php ファイルを経由したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。 | 7.5 |
CVE 2025-06-15 09:00:04.722790 |
| CVE-2025-1309 | UiPress lite｜Effortless custom dashboards, admin themes and pages plugin for WordPress は、3.5.04 までのすべてのバージョンにおいて、 uip_save_form_as_option() 関数の機能チェックが欠落しているため、 権限昇格につながる不正なデータ改変の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が WordPress サイトの任意のオプションを更新できるようになります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-06-15 03:00:04.627151 |
| CVE-2025-0863 | WordPress 用の Flexmls® IDX Plugin プラグインは、3.14.27 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分であるため、プラグインの 'idx_frame' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-15 03:00:04.626439 |
| CVE-2024-13906 | WordPress 用プラグイン Gallery by BestWebSoft - Customizable Image and Photo Galleries for WordPress には、4.7.3 までのすべてのバージョンにおいて、'import_gallery_from_csv' 関数の信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-06-15 03:00:04.625475 |
| CVE-2025-1475 | WordPress 用 WPCOM Member プラグインは、1.7.5 までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、ログイン時の 'user_phone' パラメータの検証が不十分なためです。このため、SMS ログインが有効になっている場合、認証されていない攻撃者が管理者などのサイト上の既存ユーザーとしてログインできてしまいます。 | 9.8 |
CVE 2025-06-15 03:00:04.624272 |
| CVE-2024-13655 | WordPress 用テーマ Flex Mag - Responsive WordPress News Theme は、3.5.2 までのすべてのバージョンにおいて、propanel_of_ajax_callback() 関数の機能チェックが欠落しているため、不正なデータ改変によるサービス拒否の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者が、WordPressサイト上の任意のオプション値を削除することが可能になります。これを利用して、サイトにエラーを発生させ、正当なユーザのサービスを拒否するようなオプションを削除することができる。 | 8.1 |
CVE 2025-06-15 03:00:04.623600 |
| CVE-2024-13320 | CURCY - WooCommerce Multi Currency - Currency Switcher plugin for WordPress は、2.3.6 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'wc_filter_price_meta[where]' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能です。 | 7.5 |
CVE 2025-06-15 03:00:04.622746 |
| CVE-2024-12809 | WordPress 用 Wishlist プラグインは、1.0.43 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'wishlist_button' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-15 03:00:04.619625 |
| CVE-2025-0749 | WordPress用テーマ「Homey」は、2.4.3までのバージョンにおいて認証バイパスの脆弱性があります。これは、'verification_id' の値が空に設定され、ダッシュボードのユーザープロファイルページで空でないことのチェックが欠落しているためです。これにより、認証されていない攻撃者が最初に認証されたユーザーにログインすることが可能になってしまいます。 | 8.1 |
CVE 2025-06-14 23:00:06.332657 |
| CVE-2025-0748 | WordPress 用テーマ Homey には、2.4.3 までのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'homey_verify_user_manually' 関数における nonce 検証の欠落または不正確さによるものです。このため、認証されていない攻撃者が偽造したリクエストを使ってユーザーを更新し、サイト管理者を騙してリンクをクリックさせるなどのアクションを実行させることが可能です。 | 4.3 |
CVE 2025-06-14 23:00:06.331807 |
| CVE-2024-13526 | EventPrime - Events Calendar, Bookings and Tickets plugin for WordPress は、4.0.7.3 までのすべてのバージョンにおいて、export_submittion_attendees 関数の機能チェックが欠落しているため、データに不正アクセスされる脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のイベントの出席者リストをダウンロードすることが可能です。 | 4.3 |
CVE 2025-06-14 23:00:06.327228 |
| CVE-2025-1666 | WordPress 用 Cookie バナープラグイン - Cookiebot CMP by Usercentrics プラグインは、4.4.1 までのすべてのバージョンにおいて、send_uninstall_survey() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブサイトを代表してアンインストールアンケートを送信することが可能です。 | 4.3 |
CVE 2025-06-14 09:00:05.323789 |
| CVE-2025-1383 | WordPress 用 Podlove Podcast Publisher プラグインには、4.2.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、ajax_transcript_delete()関数におけるnonceバリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを介して、任意のエピソードのトランスクリプトを削除することが可能になります。 | 4.3 |
CVE 2025-06-14 09:00:05.322940 |
| CVE-2025-1672 | WordPress 用 Notibar - Notification Bar for WordPress プラグインは、2.1.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-06-14 09:00:05.322076 |
| CVE-2024-13897 | WordPress 用の Moving Media Library プラグインは、1.22 までのすべてのバージョンにおいて、 generate_json_page 関数のファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者がサーバー上の任意のファイルを削除することが可能になり、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 6.5 |
CVE 2025-06-14 09:00:05.319723 |
| CVE-2024-13868 | URL Shortener | Conversion Tracking | AB Testing | WooCommerce WordPressプラグイン9.0.2は、ページにパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、管理者のような高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングを引き起こします。 | 6.1 |
CVE 2025-06-14 03:00:07.344028 |
| CVE-2025-1702 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.10.0 までのすべてのバージョンにおいて、'search' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-06-13 09:00:05.749986 |
| CVE-2025-1463 | WordPress 用 Spreadsheet Integration プラグインには、3.8.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、class-wpgsi-show.php スクリプト内の不適切な nonce バリデーションによるものです。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックするなどのアクションを実行させることで、非公開を含む任意の投稿を公開することが可能です。 | 4.3 |
CVE 2025-06-13 09:00:05.749382 |
| CVE-2024-13471 | WordPress 用 DesignThemes Core Features プラグインは、4.7 までのすべてのバージョンにおいて、dt_process_imported_file 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、認証されていない攻撃者がオペレーティングシステム上の任意のファイルを読み取ることが可能です。 | 7.5 |
CVE 2025-06-13 09:00:05.748554 |
| CVE-2024-13423 | WordPress 用テーマ Sparkling には、2.4.9 までのバージョンにおける 'sparkling_activate_plugin' および 'sparkling_deactivate_plugin' 関数の機能チェックが欠落しているため、プラグインを不正に有効化／無効化する脆弱性があります。これにより、認証されていない攻撃者が任意のプラグインを有効化/無効化することが可能になります。 | 5.3 |
CVE 2025-06-13 09:00:05.747994 |
| CVE-2024-12281 | WordPress 用テーマ Homey には、2.4.2 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、プラグインが新規アカウントを登録するユーザが自分のロールを設定できるようにしているためです。このため、未認証の攻撃者がEditorまたはShop Managerのロールを持つアカウントを作成することで、昇格した特権を得ることが可能になります。 | 9.8 |
CVE 2025-06-13 09:00:05.747390 |
| CVE-2024-11951 | WordPress 用の Homey Login Register プラグインには、2.4.0 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、このプラグインが新規アカウントを登録するユーザが自分のロールを設定できるようにしているためです。このため、認証されていない攻撃者が管理者ロールのアカウントを作成することで、昇格した特権を獲得することが可能です。 | 9.8 |
CVE 2025-06-13 09:00:05.746794 |
| CVE-2024-11153 | Content Control - 究極のコンテンツ制限プラグイン！WordPress 用の Restrict Content, Create Conditional Blocks & More プラグインは、2.5.0 までのすべてのバージョンにおいて、WordPress のコア検索機能を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、ログインユーザーなどの上位ロールに制限された投稿から機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-06-13 09:00:05.746203 |
| CVE-2025-1515 | WordPress 用 WP Real Estate Manager プラグインは、2.8 までのすべてのバージョンにおいて認証バイパスの脆弱性があります。これは、LinkedInのログイン要求プロセスにおける本人確認が不十分なためです。これにより、認証されていない攻撃者が公式の認証をバイパスし、管理者を含むサイト上の任意のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-06-13 09:00:05.745284 |
| CVE-2025-0956 | WordPress 用 WooCommerce Recover Abandoned Cart プラグインは、24.3.0 までのすべてのバージョンにおいて、'raccookie_guest_email' クッキーからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性は影響を与えません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者が任意のファイルを削除したり、機密データを取得したり、存在する POP チェーンに応じてコードを実行したりといったアクションを実行できる可能性があります。 | 8.1 |
CVE 2025-06-13 09:00:05.744183 |
| CVE-2025-0954 | WordPress 用の WP Online Contract プラグインは、5.1.4 までのすべてのバージョンにおいて、json_import() および json_export() 関数の機能チェックが欠落しているため、不正アクセスの可能性があります。このため、認証されていない攻撃者がプラグインの設定をインポートおよびエクスポートすることが可能です。 | 6.5 |
CVE 2025-06-13 09:00:05.743233 |
| CVE-2024-5667 | WordPress 用の複数のプラグインには、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、様々なバージョンにおいて、プラグインにバンドルされている Featherlight.js JavaScript ライブラリ（バージョン 1.7.13 から 1.7.14）を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-06-13 09:00:05.742554 |
| CVE-2024-13839 | Staff Directory プラグイン：WordPress 用 Company Directory プラグインは、4.3 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-06-13 09:00:05.741458 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.