WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2022-0626 | 1.1.6 以前の Advanced Admin Search WordPress プラグインは、管理ページに出力する前に一部のパラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-16 03:00:08.083368 |
| CVE-2020-28038 | WordPress 5.5.2以前のバージョンでは、ポストスラッグを経由した格納型XSSが可能です。 | 6.1 |
CVE 2023-11-15 23:00:06.316033 |
| CVE-2016-10893 | WordPress用の2.8.4以前のcrayon-syntax-highlighterプラグインには、AJAXリクエストを経由する複数のXSS問題があります。 | 6.1 |
CVE 2023-11-15 09:00:10.704032 |
| CVE-2022-0321 | 3.0 以前の WP Voting Contest WordPress プラグインは、wpvc_social_share_icons AJAX アクション (未認証および認証済みユーザーの両方が利用可能) を通じてレスポンスを出力する前に post_id パラメータをサニタイズおよびエスケープしないため、反射型のクロスサイトスクリプティング問題につながる可能性があります。 | 6.1 |
CVE 2023-11-15 03:00:10.555080 |
| CVE-2021-46780 | 1.9.32 以前の Easy Google Maps WordPress プラグインは、管理画面の属性に出力する前にタブパラメータをエスケープしないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-14 23:00:06.574796 |
| CVE-2019-14949 | WordPress 5.1.2 以前の wp-database-backup プラグインに XSS があります。 | 6.1 |
CVE 2023-11-14 09:00:10.441009 |
| CVE-2022-0953 | 4.20.96 以前の Anti-Malware Security and Brute-Force Firewall WordPress プラグインは、管理ページに出力する前に QUERY_STRING をサニタイズおよびエスケープしないため、文字をエンコードしないブラウザで Reflected Cross-Site Scripting になる可能性があります。 | 6.1 |
CVE 2023-11-14 03:00:08.792542 |
| CVE-2022-1567 | WordPress の WP-JS プラグインには wp-js.php というスクリプトがあり、wp_js_admin という関数で、有効でないユーザー入力を受け付け、それをユーザーにエコーバックします。これは、2.0.6までのバージョンでクロスサイトスクリプティングを反映させるために使用することができます。 | 6.1 |
CVE 2023-11-13 23:00:04.741693 |
| CVE-2022-25617 | WordPress の Code Snippets プラグイン <= 2.14.3 に &orderby 脆弱性パラメータを経由した反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。 | 6.1 |
CVE 2023-11-13 09:00:04.830875 |
| CVE-2022-29436 | Alexander Stokmann 氏の Code Snippets Extended プラグイン <= 1.4.7 on WordPress に、クロスサイトリクエストフォージェリによる持続的なクロスサイトスクリプティング (XSS) の脆弱性（脆弱なパラメータ &title、&snippet_code）が存在します。 | 6.1 |
CVE 2023-11-13 03:00:06.512134 |
| CVE-2022-1187 | WordPress WP YouTube Live プラグインには、~/inc/admin.php ファイルに見られる POST データを介した Reflected Cross-Site Scripting の脆弱性があり、1.7.21 までのバージョンにおいて、認証されていない攻撃者に任意のウェブスクリプトを注入される可能性があります。 | 6.1 |
CVE 2023-11-12 23:00:04.378690 |
| CVE-2022-1282 | 1.6.3 以前の Photo Gallery by 10Web WordPress プラグインは $_GET['image_url'] 変数を適切にサニタイズしておらず、editimage_bwg AJAX アクションを実行した際にユーザーに反映されるようになっています。 | 6.1 |
CVE 2023-11-12 09:00:07.892038 |
| CVE-2021-25086 | 6.1.2 以前の Advanced Page Visit Counter WordPress プラグインは、管理者用ダッシュボードページで出力する前に一部の入力をサニタイズおよびエスケープしないため、未認証の攻撃者がそれを閲覧する管理者に対してクロスサイトスクリプティング攻撃を実行することが可能です。 | 6.1 |
CVE 2023-11-12 03:00:06.401969 |
| CVE-2015-9320 | WordPress 2.5.4 以前の option-tree プラグインには、add_query_arg に関連する XSS が存在します。 | 6.1 |
CVE 2023-11-11 23:00:04.280348 |
| CVE-2021-24838 | 0.3.5 以前の AnyComment WordPress プラグインは、API エンドポイントが、最初に検証されることなく redirect パラメータを介して wp_redirect() 関数にユーザー入力を渡し、ベンダーによると Open Redirect 問題を引き起こします。 | 6.1 |
CVE 2023-11-11 09:00:06.702221 |
| CVE-2022-1192 | 1.0 までの Turn off all comments WordPress プラグインは、管理ページに出力する前に rows パラメータをサニタイズおよびエスケープしていないため、Reflected Cross-Site Scripting が発生する可能性があります。 | 6.1 |
CVE 2023-11-11 03:00:06.878373 |
| CVE-2017-18539 | WordPress 用 weblibrarian プラグイン 3.4.8.6 以前には、フロントエンドのショートコード経由の XSS が存在します。 | 6.1 |
CVE 2023-11-10 23:00:06.124564 |
| CVE-2017-18538 | WordPress 用 weblibrarian プラグイン 3.4.8.5 以前には、フロントエンドのショートコード経由の XSS が存在します。 | 6.1 |
CVE 2023-11-10 09:00:08.986955 |
| CVE-2022-0220 | 1.9.27以前のWordPress GDPR WordPressプラグインのcheck_privacy_settings AJAXアクションは、認証されていないユーザーと認証されたユーザーの両方で利用可能ですが、"application/json "コンテントタイプを持たないJSONデータで応答します。HTMLペイロードは適切にエスケープされないため、このエンドポイントに導かれたウェブブラウザによって解釈される可能性があります。被害者のブラウザ上でJavascriptコードが実行される可能性があります。v1.9.26でCSRFチェックが追加されたため、このXSSは認証されていないユーザに対してのみ悪用可能です。 | 6.1 |
CVE 2023-11-10 03:00:08.773706 |
| CVE-2021-24410 | తెలà±?à°-à±? బైబిలà±? వచనమà±?à°²à±?1.0までのWordPressプラグインは、設定や詩を保存する際にCSRFチェックを行わず、ページに出力する際にもサニタイズやエスケープを行いません。このため、ログインした管理者が設定を変更したり、JavaScript のコードを含む悪意のある詩を追加することが可能で、Stored XSS 問題が発生する可能性があります。 | 6.1 |
CVE 2023-11-09 23:00:06.295920 |
| CVE-2017-18540 | WordPress 用 weblibrarian プラグイン 3.4.8.7 以前には、フロントエンドのショートコード経由の XSS があります。 | 6.1 |
CVE 2023-11-09 09:00:06.021001 |
| CVE-2022-2146 | WordPressプラグインImport CSV Files 1.0は、インポートしたデータをページに出力する前にサニタイズとエスケープを行っておらず、そのような動作を行う際のCSRFチェックも不足しているため、Reflected Cross-Site Scriptingが発生する可能性があります。 | 6.1 |
CVE 2023-11-09 03:00:05.572910 |
| CVE-2022-22734 | 1.3.2までのSimple Quotation WordPressプラグインは、見積書を作成または編集する際にCSRFチェックを行わず、見積書をサニタイズおよびエスケープしません。その結果、攻撃者はログインした管理者に任意の見積書を作成または編集させ、その中にクロスサイトスクリプティングのペイロードを置くことができます。 | 6.1 |
CVE 2023-11-08 23:00:05.688672 |
| CVE-2021-24328 | 1.0 までの WP Login Security and History WordPress プラグインは、設定を保存する際に CSRF チェックを行っておらず、サニタイズやバリデーションも行われていません。このため、ログインした管理者がプラグインの設定を任意の値に変更し、XSS ペイロードを設定することが可能です。 | 6.2 |
CVE 2023-11-08 09:00:08.201535 |
| CVE-2019-14786 | WordPressのRank Math SEOプラグイン1.0.27では、管理者以外のユーザーがwp-admin/admin-post.php reset-cmbパラメーターで設定をリセットすることができます。 | 6.5 |
CVE 2023-11-07 23:00:06.269945 |
| CVE-2020-35933 | WordPress 6.8.2 以前の Newsletter プラグインには、Reflected Authenticated Cross-Site Scripting (XSS) の脆弱性があり、リモート攻撃者は、オプションパラメータに JavaScript を含む tnpc_render AJAX リクエスト、または encoded_options パラメータに JavaScript を含む base64 エンコード JSON ストリングを送信するよう被害者をだますことができます。 | 6.5 |
CVE 2023-11-07 09:00:04.687266 |
| CVE-2021-24370 | 4.6.9 以前の Fancy Product Designer WordPress プラグインでは、認証されていない攻撃者が任意のファイルをアップロードし、リモートでコードが実行される可能性があります。 | 9.8 |
CVE 2023-11-07 09:00:04.684895 |
| CVE-2022-1749 | WPMK Ajax Finder WordPress プラグインは、~/inc/config/create-plugin-config.php ファイルにある createplugin_atf_admin_setting_page() 関数を経由した Cross-Site Request Forgery の脆弱性があります。 | 8.8 |
CVE 2023-11-07 09:00:04.683985 |
| CVE-2022-1750 | WordPress 用 Sticky Popup プラグインは、1.2 までのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、' popup_title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、管理者レベル以上の能力を持つ認証された攻撃者は、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、unfiltered_htmlが管理者用に無効化されているサイトや、unfiltered_htmlが管理者用に無効化されているマルチサイト・インストールで主に発生します。 | 4.8 |
CVE 2023-11-07 09:00:04.681140 |
| CVE-2019-9568 | Forminator Contact Form, Poll & Quiz Builder」プラグイン（WordPress用1.6以前）には、攻撃者が削除権限を持っている場合、wp-admin/admin.php?page=forminator-entries entry[] パラメータを介してSQLインジェクションが発生します。 | 6.5 |
CVE 2023-11-07 03:00:05.850291 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.