WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-9705 | WordPress 用の Ultimate Coming Soon & Maintenance プラグインは、1.0.9 までのすべてのバージョンにおいて、'ucsm_update_template_name_lite' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインのテンプレート名を変更することが可能になります。 | 4.3 |
CVE 2025-03-16 09:00:05.837234 |
| CVE-2024-12155 | WordPress 用 SV100 Companion プラグインには、2.0.02 までのすべてのバージョンで settings_import() 関数の機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、認証されていない攻撃者が WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録用のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 9.8 |
CVE 2025-03-16 09:00:05.836664 |
| CVE-2024-12110 | WordPress 用 Elementor プラグイン Gold Addons には、1.3.2 までのすべてのバージョンにおいて、activate() および deactivate() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、ライセンスを有効化および無効化することが可能です。 | 4.3 |
CVE 2025-03-16 09:00:05.836030 |
| CVE-2024-12060 | WordPress 用 WP Media Optimizer (.webp) プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.4.0 までのすべてのバージョンにおいて、'wpmowebp-css-resources' および 'wpmowebp-js-resources' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.835335 |
| CVE-2024-12028 | WordPress 用 Friends プラグインは、3.2.1 までのすべてのバージョンにおいて、いくつかの REST API エンドポイントにおけるケイパビリティチェックが欠落しているため、不正アクセスの脆弱性があります。これにより、認証されていない攻撃者が他のウェブサイトの代理として任意の友達リクエストを送信し、対象となるウェブサイトの友達リクエストを受け入れ、受け入れられた友達としてそのサイトと通信することが可能になります。 | 5.3 |
CVE 2025-03-16 09:00:05.834622 |
| CVE-2024-12027 | WordPress 用の Contact Form 7 プラグイン Message Filter には、1.6.3 までのすべてのバージョンにおいて、updateFilter() と deleteFilter() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がフィルタを更新および削除することが可能になります。 | 4.3 |
CVE 2025-03-16 09:00:05.834027 |
| CVE-2024-12003 | WordPress 用 WP System プラグインには、1.1.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、generate_wp_system_page_content() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを経由して、悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.833382 |
| CVE-2024-11823 | WordPress 用 Folder Gallery プラグインは、1.7.4 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'foldergallery' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.1 |
CVE 2025-03-16 09:00:05.832782 |
| CVE-2024-11687 | WordPress 用 Next-Cart Store to WooCommerce Migration プラグインは、3.9.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'page' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.832190 |
| CVE-2024-11450 | WordPress 用 ONLYOFFICE Docs プラグインは、2.0.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'onlyoffice' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 09:00:05.831553 |
| CVE-2024-11444 | CLUEVO LMS, E-Learning Platform plugin for WordPress には、1.13.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは cluevo_render_module_ui() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者を騙ることで、偽のリクエストを使ってモジュールを削除することが可能です。 | 4.3 |
CVE 2025-03-16 09:00:05.831011 |
| CVE-2024-11368 | WordPress 用 Splash Sync プラグインは、2.0.6 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.830486 |
| CVE-2024-11352 | WordPress 用 TwentyTwenty プラグインは、1.0.1 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'twentytwenty' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 09:00:05.829947 |
| CVE-2024-11339 | WordPress 用 Smart PopUp Blaster プラグインは、1.4.3 までのすべてのバージョンにおいて、プラグインの 'spb-button'ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 09:00:05.829390 |
| CVE-2024-11336 | WordPress 用の Clickbank WordPress Plugin (Storefront) プラグインには、1.7 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、cs_menu ページを介した nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる偽造リクエストを経由して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.828798 |
| CVE-2024-11323 | WordPress 用の AI Quiz | Quiz Maker プラグインは、ai_quiz_update_style() 関数の機能チェックが 1.1 までのすべてのバージョンで欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-03-16 09:00:05.828224 |
| CVE-2024-11292 | WordPress 用 WP Private Content Plus プラグインは、3.6.1 までのすべてのバージョンにおいて、WordPress のコア検索機能を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、管理者などの上位ロールに制限された投稿から機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-03-16 09:00:05.827535 |
| CVE-2024-11276 | WooCommerce 用 PDF Builder。WordPress 用の請求書や荷札などの作成プラグインは、1.2.136 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'page' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることに成功した場合に、ページ内に任意のウェブスクリプトを注入して実行することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.826071 |
| CVE-2024-11204 | WordPress 用 ForumWP - Forum & Discussion Board プラグインは、2.1.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'url' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.825397 |
| CVE-2024-10879 | WordPress 用の ForumWP - Forum & Discussion Board プラグインは、2.1.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-16 09:00:05.824544 |
| CVE-2024-10849 | WordPress 用の NewsMash テーマには、1.0.71 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、悪意のある表示名を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 09:00:05.823688 |
| CVE-2024-10692 | PowerPack Elementor Addons (Free Widgets, Extensions and Templates) plugin for WordPress は、2.8.1 までのすべてのバージョンにおいて、Content Reveal ウィジェットを介した情報漏えいの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、パスワードで保護された投稿、非公開の投稿、またはアクセスすべきでない下書きの投稿からデータを抽出することが可能になります。 | 4.3 |
CVE 2025-03-16 09:00:05.822581 |
| CVE-2024-10689 | XLTab - Accordions and Tabs for Elementor Page Builder plugin for WordPress は、ショートコード 'XLTAB_INSERT_TPL' を介して、1.4 までのすべてのバージョンにおいて、どの投稿を含めることができるかの制限が不十分であるため、情報漏えいの脆弱性があります。このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、Elementor で作成された非公開の投稿や下書きの投稿から、アクセスすべきではないデータを抜き取ることが可能です。 | 4.3 |
CVE 2025-03-16 09:00:05.821226 |
| CVE-2024-10320 | WordPress 用 Cookielay プラグインは、1.2.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの cookielay ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 09:00:05.817052 |
| CVE-2024-8757 | WP Post Author - Boost Your Blog's Engagement with Author Box, Social Links, Co-Authors, Guest Authors, Post Rating System, and Custom User Registration Form Builder plugin for WordPress には、3.8.1 までのすべてのバージョンにおいて、linked_user_id パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能です。 | 7.2 |
CVE 2025-03-16 03:00:05.048329 |
| CVE-2024-11178 | WordPressのLogin With OTPプラグインは、1.4.2までのバージョンで認証バイパスの脆弱性があります。これはプラグインが生成するOTPが弱すぎるためで、試行回数や時間制限がありません。このため、認証されていない攻撃者は、メールにアクセスできれば、管理者などのサイトの既存ユーザーとしてログインできるようにする6桁の数字のOTPを生成し、総当たりで実行することが可能です。 | 8.1 |
CVE 2025-03-16 03:00:04.884569 |
| CVE-2024-11585 | WordPress 用の WP Hide & Security Enhancer プラグインには、2.5.1 までのすべてのバージョンにおいて、file-process.php での認証の欠落およびファイルパスの検証不足が原因で、任意のファイルコンテンツが削除される脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のファイルの内容を削除することが可能となり、サイトの破壊やデータの消失につながる可能性があります。 | 7.5 |
CVE 2025-03-16 03:00:04.883862 |
| CVE-2024-11201 | myCred - Loyalty Points and Rewards plugin for WordPress and WooCommerce - Give Points, Ranks, Badges, Cashback, WooCommerce rewards, and WooCommerce credits for Gamification plugin for WordPress には、2.7.5.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの mycred_send ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-16 03:00:04.883160 |
| CVE-2024-10578 | WordPress 用の Pubnews テーマには、1.0.7 までのすべてのバージョンで pubnews_importer_plugin_action_for_notice() 関数の機能チェックが欠落しているため、不正に任意のプラグインをインストールされる脆弱性があります。このため、サブスクライバ・レベル以上のアクセス権を持つ認証済みの攻撃者が、他の脆弱性を悪用するために利用できる任意のプラグインをインストールすることが可能です。 | 8.8 |
CVE 2025-03-16 03:00:04.882362 |
| CVE-2024-10551 | Sticky Social Icons WordPress プラグイン（1.2.1）は、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html 機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-03-16 03:00:04.881514 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.