WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-12614 | WordPress 用 Passwords Manager プラグインは、1.4.8 までのすべてのバージョンにおいて、'pms_save_setting' および 'post_new_pass' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新し、パスワードを追加することが可能になります。 | 7.5 |
CVE 2025-05-01 23:00:27.212630 |
| CVE-2024-13091 | WordPress 用 WPBot Pro Wordpress Chatbot プラグインは、13.5.4 までのすべてのバージョンにおいて、'qcld_wpcfb_file_upload' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。注意: この脆弱性を悪用するには、ChatBot Conversational Forms プラグインと Conversational Form Builder Pro アドオン プラグインが必要です。 | 9.8 |
CVE 2025-05-01 23:00:11.334315 |
| CVE-2025-22735 | TaxoPress WordPress Tag Cloud Plugin - Tag Groups に、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS が可能です。この問題は WordPress Tag Cloud Plugin - Tag Groups: n/a から 2.0.4 に影響します。 | 7.1 |
CVE 2025-05-01 09:00:07.386277 |
| CVE-2024-49333 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin に SQL インジェクションの脆弱性が存在します。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 8.5 |
CVE 2025-05-01 09:00:07.385695 |
| CVE-2024-49303 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin に SQL インジェクションの脆弱性が存在します。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 8.5 |
CVE 2025-05-01 09:00:07.385071 |
| CVE-2024-49300 | NotFound Hero Mega Menu - Responsive WordPress Menu Plugin には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Reflected XSS が可能です。この問題は Hero Mega Menu - Responsive WordPress Menu Plugin: n/a から 1.16.5 に影響します。 | 7.1 |
CVE 2025-05-01 09:00:07.384511 |
| CVE-2025-0450 | WordPress 用 Betheme プラグインは、27.6.1 までのすべてのバージョンにおいて、 ユーザーが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 プラグインのカスタム JS 機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.383932 |
| CVE-2024-13444 | WordPress 用 wp-greet プラグインには、6.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数の nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、付与された偽造リクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-05-01 09:00:07.383341 |
| CVE-2024-13230 | Social Share, Social Login and Social Comments Plugin - Super Socializer plugin for WordPress は、7.14 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'SuperSocializerKey' パラメータを経由した限定的な SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースからユーザ・メタデータを抽出するために使用できる追加の値を、すでに存在するクエリに追加することが可能です。 | 5.3 |
CVE 2025-05-01 09:00:07.382717 |
| CVE-2024-11226 | WordPress 用 FireCask Like & Share Button プラグインは、1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'width' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.382127 |
| CVE-2024-13404 | WordPress 用 Link Library プラグインは、7.7.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'searchll' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。 | 6.1 |
CVE 2025-05-01 09:00:07.381591 |
| CVE-2024-12104 | WordPress 用の Visual Website Collaboration, Feedback & Project Management - Atarim プラグインは、4.0.9 までのすべてのバージョンにおいて、wpf_delete_file および wpf_delete_file 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者がプロジェクトのページやファイルを削除することが可能になります。 | 5.3 |
CVE 2025-05-01 09:00:07.381056 |
| CVE-2024-12005 | WordPress 用 WP-BibTeX プラグインには、3.0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、wp_bibtex_option_page() 関数における nonce バリデーションの欠落または不正確さが原因です。このため、認証されていない攻撃者は、サイト管理者を騙してリンクをクリックさせるなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入することが可能です。 | 6.1 |
CVE 2025-05-01 09:00:07.380486 |
| CVE-2025-0371 | WordPress 用 JetElements プラグインは、2.7.2.1 までのすべてのバージョンにおいて、 ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、 いくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-05-01 09:00:07.379716 |
| CVE-2024-10936 | WordPress 用 String locator プラグインは、2.6.6 までのすべてのバージョンにおいて、 'recursive_unserialize_replace' 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには、既知の POP チェーンは存在しません。もし POP チェーンがターゲットシステムにインストールされた追加のプラグインやテーマを通じて存在すると、 攻撃者が任意のファイルを削除したり、機密データを取得したり、コードを実行したりできる可能性があります。この脆弱性を悪用するには、管理者が検索と置換を実行する必要があります。 | 8.8 |
CVE 2025-05-01 09:00:07.377143 |
| CVE-2024-13536 | WordPress 用の 1003 Mortgage Application プラグインは、1.87 までのすべてのバージョンにおいて Full Path Disclosure の脆弱性があります。これは、/inc/class/fnm/export.php ファイルが、エラーログを有効にした状態で一般にアクセス可能であることが原因です。これにより、認証されていない攻撃者がウェブアプリケーションのフルパスを取得することが可能となり、他の攻撃に利用される可能性があります。表示される情報はそれだけでは役に立たず、影響を受けるウェブサイトに損害を与えるためには、別の脆弱性が存在する必要があります。 | 5.3 |
CVE 2025-05-01 03:00:07.498325 |
| CVE-2025-0308 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.9.1 までのすべてのバージョンにおいて、search パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能になります。 | 7.5 |
CVE 2025-04-30 23:00:07.542190 |
| CVE-2024-8722 | WordPress 用 Import any XML or CSV File to WordPress PRO プラグインは、4.9.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ユーザーが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 5.5 |
CVE 2025-04-29 03:00:05.183766 |
| CVE-2024-13375 | WordPress 用 Adifier System プラグインは、3.1.7 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、adifier_recover() 関数を通じてパスワードなどの詳細情報を更新する前に、プラグインがユーザーの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者が、管理者を含む任意のユーザのパスワードを変更し、それを利用してアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-04-28 09:00:06.552952 |
| CVE-2024-13184 | The Ultimate WordPress Toolkit - WP Extended plugin for WordPress は、3.0.12 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、Login Attempts モジュールを経由した時間ベースの SQL インジェクションに対して脆弱です。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-04-28 09:00:06.550194 |
| CVE-2024-13392 | WordPress 用の Rate Star Review Vote - AJAX Reviews, Votes, Star Ratings プラグインは、1.6.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_reviews' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.098281 |
| CVE-2025-0515 | WordPress 用テーマ Buzz Club - Night Club, DJ and Music Festival WordPress Theme は、2.0.4 までのすべてのバージョンにおいて、'cmsmasters_hide_admin_notice' 関数の機能チェックが欠落しているため、不正なデータ改変によるサービス拒否の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイトのオプション値を「hide」に更新することが可能になります。これは、サイト上でエラーを発生させ、正当なユーザのサービスを拒否するようなオプションを更新したり、登録のようないくつかの値を真に設定するために利用することができます。 | 4.3 |
CVE 2025-04-28 03:00:09.097462 |
| CVE-2025-0369 | WordPress 用 JetEngine プラグインは、3.6.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'list_tag' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.096855 |
| CVE-2024-13519 | WordPress 用プラグイン MarketKing - Ultimate WooCommerce Multivendor Marketplace Solution には、入力のサニタイズと出力のエスケープが不十分なため、1.9.80 までのすべてのバージョンにおいて、プラグインの設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、ショップマネージャーレベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-04-28 03:00:09.096254 |
| CVE-2024-13517 | Easy Digital Downloads - eCommerce Payments and Subscriptions made easy plugin for WordPress は、3.3.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Title 値を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-04-28 03:00:09.095650 |
| CVE-2024-13433 | WordPress 用 Utilities for MTG プラグインは、1.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'mtglink' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.094973 |
| CVE-2024-13432 | WordPress 用 Webcamconsult プラグインは、1.5.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数におけるnonceの検証の欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-04-28 03:00:09.094288 |
| CVE-2024-13393 | WordPress 用の Video Share VOD - Turnkey Video Site Builder Script プラグインは、2.6.31 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_videos' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.093593 |
| CVE-2024-13391 | MicroPayments - Fans Paysite：WordPress 用の Paid Creator Subscriptions, Digital Assets, Tokens Wallet プラグインは、2.9.29 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'videowhisper_content_upload_guest' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.092897 |
| CVE-2024-13385 | WordPress 用の JSM Screenshot Machine Shortcode プラグインは、2.3.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'ssm' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-04-28 03:00:09.092301 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.