WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-9539 | AutomatorWP - Automator plugin for no-code automations, webhooks & custom integrations in WordPress plugin for WordPress は、5.3.6 までのすべてのバージョンにおいて、automatorwp_ajax_import_automation_from_url 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が任意のオートメーションを作成することが可能であり、そのようなオートメーションが管理者によって有効化されると、リモートコード実行や特権の昇格につながる可能性があります。 | 8.0 |
CVE 2025-12-18 03:00:13.738967 |
| CVE-2025-9111 | 7.1.0より前のAI ChatBot for WordPress WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-12-18 03:00:13.738440 |
| CVE-2025-9061 | WordPress 用 Wilmer Core プラグインは、2.4.5 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-18 03:00:13.737674 |
| CVE-2025-9058 | WordPress 用 Mikado Core プラグインには、1.5.2 までのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のパーミッションを持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-18 03:00:13.737056 |
| CVE-2025-8889 | 1.0.5より前のCompress & Upload WordPressプラグインは、アップロードされたファイルを適切に検証しないため、管理者のような高い権限を持つユーザーが、許可されていないにもかかわらず、サーバー上に任意のファイルをアップロードすることができます（マルチサイト設定など）。 | 3.8 |
CVE 2025-12-18 03:00:13.736071 |
| CVE-2025-9489 | WordPress 用 WP-Members Membership Plugin プラグインは、3.5.4.2 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が任意のショートコードを実行することが可能になります。 | 5.0 |
CVE 2025-12-18 03:00:13.733113 |
| CVE-2025-1913 | Product Import Export for WooCommerce - Import Export Product CSV Suite plugin for WordPress は、2.5.0 までのすべてのバージョンにおいて、 'form_data' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-12-17 09:00:09.870741 |
| CVE-2025-9114 | WordPress用テーマDoccureは、1.4.8までのバージョンにおいて、Arbitrary User Password Changeの脆弱性がある。これはプラグインがオブジェクトへのユーザ制御アクセスを提供し、ユーザに認証を回避させてシステムリソースにアクセスさせることに起因します。これにより、認証されていない攻撃者がユーザーパスワードを変更し、管理者アカウントを乗っ取る可能性があります。 | 9.8 |
CVE 2025-12-17 09:00:08.529923 |
| CVE-2025-9113 | WordPress 用 Doccure テーマは、1.4.8 までのすべてのバージョンにおいて、'doccure_temp_upload_to_media' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性がある。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-12-17 09:00:08.529229 |
| CVE-2025-9112 | WordPress 用の Doccure テーマは、1.4.8 までの全てのバージョンにおいて、'doccure_temp_file_uploader' 関数のファイルタイプ検証が間違っているため、任意のファイルをアップロードされる脆弱性がある。これにより、サブスクライバレベル以上のパーミッションを持つ認証済みの攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-12-17 09:00:08.515402 |
| CVE-2025-7725 | WordPress 用の Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery - Upload, Vote, Sell via PayPal or Stripe, Social Share Buttons, OpenAI plugin には、入力のサニタイズと出力のエスケープが不十分なため、26.1.0 までのすべてのバージョンにおいて、コメント機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-12-17 03:00:04.058794 |
| CVE-2025-8085 | 3.1.58より前のDitty WordPressプラグインは、displayItemsエンドポイントへのリクエストに対する認可と認証が欠けており、認証されていない訪問者が任意のURLへリクエストできるようになっています。 | 8.6 |
CVE 2025-12-17 03:00:03.819431 |
| CVE-2025-2257 | Total Upkeep - WordPress Backup Plugin plus Restore & Migrate by BoldGrid plugin for WordPress には、1.16.10 までのすべてのバージョンにおいて compression_level 設定を経由したリモートコード実行の脆弱性があります。これは、プラグインが proc_open() 内で圧縮レベルの設定を検証なしで使用しているためです。これにより、管理者レベル以上のアクセス権を持つ、 認証された攻撃者がサーバー上でコードを実行することが可能になります。 | 7.2 |
CVE 2025-12-16 23:00:10.118052 |
| CVE-2025-2009 | WordPress 用 Newsletters プラグインは、4.9.9.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、ロギング機能を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-12-16 09:00:12.167374 |
| CVE-2025-1971 | WordPress 用の Export and Import Users and Customers プラグインは、2.6.2 までの全てのバージョンにおいて、 'form_data' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトを注入することが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む他のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性は影響を与えません。 | 7.2 |
CVE 2025-12-15 03:00:10.077856 |
| CVE-2025-10046 | WordPress 用 ELEX WooCommerce Google Shopping (Google Product Feed) プラグインは、1.4.3 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、「file_to_delete」パラメータを経由した SQL インジェクションの脆弱性があります。 このため、管理者レベル以上のアクセス権を持つ認証された攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能です。 | 4.9 |
CVE 2025-12-15 03:00:05.371174 |
| CVE-2025-6757 | WordPress 用 Recent Posts Widget Extended プラグインは、2.0.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'rpwe' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.369805 |
| CVE-2025-9493 | WordPress 用 Admin Menu Editor プラグインは、1.14 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'placeholder' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.368287 |
| CVE-2025-9442 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.5 までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'vodsChannel' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.367356 |
| CVE-2025-9126 | WordPress 用 Smart Table Builder プラグインは、1.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.365898 |
| CVE-2025-8722 | WordPress 用 Content Views プラグインは、4.1 までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Grid および List ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.364343 |
| CVE-2025-8564 | WordPress用のSKT Addons for Elementorプラグインは、3.7までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.363246 |
| CVE-2025-8149 | WordPress 用 aThemes Addons for Elementor プラグインは、1.1.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカウントダウンウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.361446 |
| CVE-2025-7045 | WordPress 用 Cloud SAML SSO プラグインは、1.0.19 までのすべてのバージョンにおいて、csso_handle_actions() 関数の delete_config アクションの機能チェックが欠落しているため、Identity Provider Deletion に対して脆弱です。これにより、認証されていない攻撃者が設定された IdP を削除し、SSO 認証フローを破壊してサービス拒否を引き起こす可能性がある。 | 6.5 |
CVE 2025-12-15 03:00:05.360295 |
| CVE-2025-7040 | WordPress 用の Cloud SAML SSO プラグインには、1.0.19 までのすべてのバージョンにおいて、csso_handle_actions() 関数の 'set_organization_settings' アクションの能力チェックが欠けているため、データが不正に変更される脆弱性があります。このハンドラは、クライアントから提供された組織設定用の POST パラメータを読み込み、ユーザの能力やCSRF nonceをチェックすることなく、update_option() に直接渡します。このため、認証されていない攻撃者が重要な設定 (署名や暗号化の切り替えを含む) を変更することが可能となり、SSO フローを破壊してサービス拒否を引き起こす可能性がある。 | 8.2 |
CVE 2025-12-15 03:00:05.359155 |
| CVE-2025-9853 | WordPress 用 Optio Dentistry プラグインは、2.2 までのすべてのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの 'optio-lightbox' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.357875 |
| CVE-2025-9515 | WordPress 用 Multi Step Form プラグインは、1.7.25 までのすべてのバージョンにおいて、 インポート機能経由でのファイルタイプ検証の欠落により、 任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証された攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2025-12-15 03:00:05.357159 |
| CVE-2025-9085 | WordPress 用の User Registration & Membership プラグインは、バージョン 4.3.0 において 's' パラメータを経由した SQL インジェクションの脆弱性があります。これは、ユーザが提供するパラメータのエスケープが不十分であることと、既存の SQL クエリの準備が不十分であることが原因です。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 4.9 |
CVE 2025-12-15 03:00:05.356208 |
| CVE-2025-8360 | LA-Studio Element Kit for Elementor プラグイン（WordPress 用）には、1.5.5.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分であるため、プラグインのいくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-15 03:00:05.354775 |
| CVE-2025-8359 | WordPress 用 AdForest テーマには、6.0.9 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、プラグインがユーザーを認証する前に、ユーザーの身元を適切に検証しないことが原因です。このため、認証されていない攻撃者がパスワードにアクセスすることなく、管理者を含む他のユーザーとしてログインすることが可能になります。 | 9.8 |
CVE 2025-12-15 03:00:05.353381 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.