WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-2893 | Gutenverse - Ultimate Block Addons and Page Builder for Site Editor plugin for WordPress は、2.2.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカウントダウンブロックを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-07 03:00:18.380922 |
| CVE-2024-12273 | 5.2.62より前のCalculated Fields Form WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 3.5 |
CVE 2025-08-07 03:00:18.377727 |
| CVE-2025-2485 | WordPress 用 Drag and Drop Multiple File Upload for Contact Form 7 プラグインは、1.3.8.7 までのすべてのバージョンにおいて、'dnd_upload_cf7_upload' 関数からの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。 関数からの信頼できない入力のデシリアライズを経由します。これにより、攻撃者は PHAR ファイルを通して PHP Object をインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。この脆弱性は、ファイルアップロードアクションを持つフォームがサイト上に存在する場合に、認証されていない攻撃者によって悪用される可能性があります。この脆弱性を悪用するためには、Flamingo プラグインがインストールされ、有効化されている必要があります。この脆弱性はバージョン1.3.8.8で部分的に修正されました。 | 7.5 |
CVE 2025-08-06 23:00:51.301022 |
| CVE-2015-4582 | TheCartPress boot-store (別名 Boot Store) テーマ 1.6.4 for WordPress は header.php tcp_register_error XSS を許可します。注: CVE-2015-4582 は Oracle 製品には割り当てられていません。 | 7.2 |
CVE 2025-08-06 09:00:04.955442 |
| CVE-2024-10804 | WordPress 用プラグイン Ultimate Video Player WordPress & WooCommerce プラグインは、10.0 までのすべてのバージョンにおいて、content/downloader.php ファイルを経由したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能となり、機密情報が含まれる可能性があります。 | 7.5 |
CVE 2025-08-06 03:00:05.993367 |
| CVE-2025-0627 | WordPress Tag, Category, and Taxonomy Manager WordPressプラグイン3.30.0より前のバージョンでは、ウィジェットの設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-08-06 03:00:05.792452 |
| CVE-2024-9771 | 16.26.12より前のWP-Recall WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 3.5 |
CVE 2025-08-06 03:00:05.791619 |
| CVE-2024-13688 | 7.6.10以前のAdmin and Site Enhancements (ASE) WordPressプラグインは、パスワード保護機能でハードコードされたパスワードを使用しており、攻撃者は細工されたリクエストを経由して提供される保護をバイパスすることができます。 | 5.3 |
CVE 2025-08-06 03:00:05.788624 |
| CVE-2025-1702 | WordPress 用プラグイン Ultimate Member - User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin には、2.10.0 までのすべてのバージョンにおいて、'search' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-08-05 23:00:12.306202 |
| CVE-2024-13320 | CURCY - WooCommerce Multi Currency - Currency Switcher plugin for WordPress は、2.3.6 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'wc_filter_price_meta[where]' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能です。 | 7.5 |
CVE 2025-08-05 09:00:04.990503 |
| CVE-2024-13412 | WordPress 用 CozyStay テーマには、1.7.0 までのすべてのバージョンにおいて ajax_handler 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が任意のアクションを実行することが可能になります。 | 7.5 |
CVE 2025-08-05 03:00:10.248568 |
| CVE-2024-13611 | Better Messages - Live Chat for WordPress, BuddyPress, PeepSo, Ultimate Member, BuddyBoss プラグイン for WordPress には、2.6.9 までのすべてのバージョンにおいて、'bp-better-messages' ディレクトリを経由した機密情報漏洩の脆弱性があります。これにより、認証されていない攻撃者は、/wp-content/uploads/bp-better-messages ディレクトリに安全に保存されていない機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-08-04 23:00:09.916742 |
| CVE-2025-31015 | Adrian Tobey WordPress SMTP サービスにおける PHP プログラムの Include/Require ステートメントにおけるファイル名の不適切な制御 ('PHP Remote File Inclusion') の脆弱性、メール配信で解決！- MailHawk は、PHP ローカルファイルインクルードを許可します。この問題は、WordPress SMTP サービス、メール配信に影響します！- MailHawk: n/a から 1.3.1 まで。 | 7.5 |
CVE 2025-08-04 09:00:23.685023 |
| CVE-2025-2101 | WordPress 用 Edumall テーマは、4.2.4 までの全てのバージョンにおいて、'edumall_lazy_load_template' AJAX アクションの 'template' パラメータを経由したローカルファイルインクルードの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意の PHP ファイルをインクルードして実行することが可能となり、 そのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、 PHP ファイルがアップロードされインクルードされた場合にコードを実行したりするために 使用可能です。 | 8.1 |
CVE 2025-08-04 09:00:13.390591 |
| CVE-2024-13812 | WordPress 用 Anps Theme プラグインは、1.1.1 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2025-08-04 09:00:13.387501 |
| CVE-2025-3915 | WordPress 用 Aeropage Sync for Airtable プラグインは、3.2.0 までのすべてのバージョンにおいて、'aeropageDeletePost' 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、任意の投稿を削除することが可能になります。 | 4.3 |
CVE 2025-08-04 03:00:05.313753 |
| CVE-2025-3914 | WordPress 用 Aeropage Sync for Airtable プラグインは、3.2.0 までのすべてのバージョンにおいて、'aeropage_media_downloader' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートでコードを実行される可能性があります。 | 8.8 |
CVE 2025-08-04 03:00:05.312313 |
| CVE-2025-3906 | Integração entre Eduzz e Woocommerce plugin for WordPress は、1.7.5 までのすべてのバージョンにおいて、'wep_opcoes' 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、プラグインの登録フロー内のデフォルトの登録ロールを Administrator に編集することが可能となり、任意のユーザが Administrator アカウントを作成できるようになります。 | 8.8 |
CVE 2025-08-04 03:00:05.310636 |
| CVE-2025-3491 | WordPress 用 Add custom page template プラグインは、2.0.1 までのすべてのバージョンにおいて、'acpt_validate_setting' 関数を経由したリモートコード実行につながる PHP コードインジェクションの脆弱性があります。これは、'template_name' パラメータのサニタイズが不十分なためです。このため、管理者レベル以上のアクセス権を持つ、 認証された攻撃者がサーバ上でコードを実行することが可能です。 | 7.2 |
CVE 2025-08-04 03:00:05.309177 |
| CVE-2025-2907 | 12.3.1 以前の Order Delivery Date WordPress プラグインには、設定をインポートする際の認証と CSRF チェックがありません。さらに、12.3.1 より前の Order Delivery Date WordPress プラグインに関連するオプションのみを更新するための適切なチェックも欠けています。このため、攻撃者は default_user_role を administrator と users_can_register に変更することができ、サイトの管理者として登録してサイトを完全に乗っ取ることができる。 | 9.8 |
CVE 2025-08-04 03:00:05.306671 |
| CVE-2025-2105 | WordPress 用 Jupiter X Core プラグインは、4.8.11 までのすべてのバージョンにおいて、'raven_download_file' 関数の 'file' パラメータからの信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、攻撃者は PHAR ファイルを通して PHP Object をインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、 POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、 この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。この脆弱性は、ファイルダウンロードアクションを持つフォームがサイト上に存在し、ファイルをアップロードする機能も存在する場合に、認証されていない攻撃者によって悪用される可能性があります。そうでなければ、コントリビュータ・レベル以上のユーザが、この脆弱性を悪用するために必要なフォームを作成することができるため、この脆弱性は悪用可能であると考えられます。 | 8.1 |
CVE 2025-08-04 03:00:05.305477 |
| CVE-2025-1458 | Element Pack Addons for Elementor - Free Templates and Widgets for Your WordPress Websites plugin for WordPress には、入力のサニタイズと出力のエスケープが不十分なため、5.10.29 までのすべてのバージョンにおいて、Dual Button、Creative Button、Image Stack などのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-08-04 03:00:05.304061 |
| CVE-2024-13808 | WordPress 用 Xpro Elementor Addons - Pro プラグインには、1.4.9 までのすべてのバージョンにおいて、カスタム PHP ウィジェットを介したリモート・コード実行の脆弱性があります。これは、ウィジェットにアクセスできるユーザーを決定する際に、クライアント側でしか制御できないことが原因です。このため、コントリビュータレベル以上のアクセス権を持つ、認証された攻撃者がサーバ上でコードを実行することが可能です。 | 8.8 |
CVE 2025-08-04 03:00:05.301861 |
| CVE-2025-1323 | WP-Recall - Registration, Profile, Commerce & More plugin for WordPress は、16.26.10 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が不十分であるため、'databeat' パラメータを経由した SQL インジェクションの脆弱性があります。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-08-03 09:00:22.974542 |
| CVE-2025-3912 | WS Form LITE - Drag & Drop Contact Form Builder for WordPress プラグインは、1.10.35 までのすべてのバージョンにおいて、'get_config' 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、認証されていない攻撃者が、統合サービスの API キーを含むプラグインの設定値を読み取ることが可能です。 | 5.3 |
CVE 2025-08-03 09:00:09.720875 |
| CVE-2025-2470 | Service Finder - Directory and Job Board WordPress Theme で使用されている WordPress 用の Service Finder Bookings プラグインには、5.1 までのすべてのバージョンで特権昇格の脆弱性があります。これは、'nsl_registration_store_extra_input' 関数におけるユーザーロールの制限の欠如によるものです。このため、認証されていない攻撃者がソーシャルログイン経由で登録する際に、管理者を含む任意のロールでサイトにアカウントを登録することが可能です。この脆弱性を悪用するには、Nextend Social Login プラグインをインストールし、設定する必要があります。 | 9.8 |
CVE 2025-08-03 09:00:09.719662 |
| CVE-2024-11917 | WordPress 用の JobSearch WP Job Board プラグインは、2.9.2 までのすべてのバージョンにおいて認証バイパスの脆弱性があります。これは 'jobsearch_xing_response_data_callback', 'set_access_tokes', 'google_callback' 関数の不適切な設定によるものです。これにより、認証されていない攻撃者が、最初に接続されたXingユーザーや、Xing IDがわかっている場合に接続されたXingユーザーとしてログインすることが可能になります。また、認証されていない攻撃者が、30日以内にログアウトせずにログインしたことがある場合、最初に接続されたGoogleユーザーとしてログインすることも可能です。この脆弱性はバージョン2.8.4で部分的に修正された。 | 8.1 |
CVE 2025-08-03 09:00:09.718699 |
| CVE-2025-3870 | WordPress 用 1 Decembrie 1918 プラグインは、1.dec.2012 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、1-decembrie-1918/1-decembrie-1918.php ページにおける nonce バリデーションの欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、付与された偽造リクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-08-03 09:00:09.716843 |
| CVE-2025-1279 | WordPress 用 BM Content Builder プラグインは、3.16.2.1 までのすべてのバージョンにおいて、 ux_cb_tools_import_item_ajax AJAX アクションの機能チェックが欠落しているため、権限の昇格につながる不正なデータ変更の脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、WordPress サイト上の任意のオプションを更新することが可能になります。これを利用して、登録のデフォルトのロールを管理者に更新し、攻撃者が脆弱なサイトへの管理者ユーザーアクセスを得るためのユーザー登録を可能にすることができます。 | 8.8 |
CVE 2025-08-03 09:00:09.713841 |
| CVE-2024-13604 | WordPress 用プラグイン KB Support - Customer Support Ticket & Helpdesk Plugin, Knowledge Base Plugin には、1.7.4 までのすべてのバージョンにおいて、'kbs' ディレクトリを経由した機密情報漏洩の脆弱性があります。これにより、未認証の攻撃者が /wp-content/uploads/kbs ディレクトリに安全に保存されていない機密データを抽出することが可能となり、サポートチケットに含まれる添付ファイルが含まれる可能性があります。この脆弱性はバージョン 1.7.3.2 で部分的に修正されました。 | 7.5 |
CVE 2025-08-03 03:00:06.958842 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.