WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-13831 | WordPress 用 Tabs for WooCommerce プラグインは、1.0.0 までのすべてのバージョンにおいて、 'product_has_custom_tabs' 関数内の信頼できない入力のデシリアライズを経由した PHP オブジェクトインジェクションの脆弱性があります。これにより、ショップマネージャレベル以上のアクセス権を持つ、 認証された攻撃者が PHP オブジェクトをインジェクションすることが可能となります。脆弱なソフトウェアには既知の POP チェーンは存在しませんので、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。つまり、POP チェーンを含む別のプラグインやテーマがサイトにインストールされていない限り、この脆弱性の影響はありません。ターゲットシステムにインストールされた追加のプラグインやテーマによって POP チェーンが存在する場合、攻撃者は存在する POP チェーンに応じて、任意のファイルを削除したり、機密データを取得したり、コードを実行したりといったアクションを実行できる可能性があります。 | 7.2 |
CVE 2025-12-08 09:00:14.010889 |
| CVE-2025-1513 | WordPress 用の Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery - Upload, Vote, Sell via PayPal or Stripe, Social Share Buttons プラグインは、入力のサニタイズと出力のエスケープが不十分なため、26.0.0.1 までのすべてのバージョンにおいて、フォトギャラリーエントリーにコメントする際に Name と Comment フィールドを経由する Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-12-08 03:00:10.245050 |
| CVE-2025-9500 | WordPress 用 TablePress プラグインは、3.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'shortcode_debug' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-12-08 03:00:07.792687 |
| CVE-2025-9499 | WordPress 用 Ocean Extra プラグインは、2.4.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの oceanwp_library ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-08 03:00:07.788308 |
| CVE-2025-9618 | WordPress 用 Related Posts Lite プラグインには、1.12 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、設定更新機能におけるnonceバリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを介してプラグインの設定を変更することが可能になります。 | 4.3 |
CVE 2025-12-07 23:00:07.013385 |
| CVE-2025-4956 | AA-Team Pro Bulk Watermark Plugin for WordPress に '.../...//' 脆弱性があり、パストラバーサルが可能です。この問題は Pro Bulk Watermark Plugin for WordPress: n/a から 2.0 に影響します。 | 4.3 |
CVE 2025-12-07 23:00:06.990205 |
| CVE-2025-9217 | WordPress 用 Slider Revolution プラグインは、6.7.36 までのすべてのバージョンにおいて、'used_svg' および 'used_images' パラメータを経由した Path Traversal の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ、認証された攻撃者が、機密情報を含む可能性のある、サーバー上の任意のファイルの内容を読み取ることが可能になります。 | 6.5 |
CVE 2025-12-07 09:00:53.764122 |
| CVE-2024-13342 | WordPress 用 Booster for WooCommerce プラグインは、7.2.4 までのすべてのバージョンにおいて、'add_files_to_order' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に二重の拡張子を持つ任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。これは、設定が最初に存在する拡張子を実行するような特定のインスタンスでのみ悪用可能です。 | 8.1 |
CVE 2025-12-07 09:00:53.762360 |
| CVE-2025-8150 | WordPress 用 Elementor プラグインの Events Addon には、2.2.9 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力サニタイズと出力エスケープが不十分なため、プラグインのタイプライターウィジェットとカウントダウンウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-07 09:00:53.747657 |
| CVE-2025-9441 | WordPress 用 iATS Online Forms プラグインは、1.2 までのすべてのバージョンにおいて、 ユーザーが提供したパラメータのエスケープが不十分であり、既存の SQL クエリに十分な準備がないため、'order' パラメータ経由で時間ベースの SQL インジェクションを受ける脆弱性があります。 このため、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-12-07 03:00:09.989918 |
| CVE-2025-9374 | WordPress 用 Ultimate Tag Warrior Importer プラグインは、0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、関数のnonce検証の欠落または不正確さによるものです。このため、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させ、タグをインポートすることが可能になります。 | 4.3 |
CVE 2025-12-07 03:00:09.989203 |
| CVE-2025-8619 | OSM Map Widget for Elementor plugin for WordPress は、1.3.0 までのすべてのバージョンにおいて、ユーザが提供した属性の入力サニタイズと出力エスケープが不十分なため、プラグインの Map Block URL を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-07 03:00:09.988184 |
| CVE-2025-8290 | WordPress 用 List Subpages プラグインは、1.0.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-07 03:00:09.986959 |
| CVE-2025-8147 | WordPress 用の LWSCache プラグインは、2.8.5 までのすべてのバージョンにおいて、 lwscache_activatePlugin() 関数の不適切な認可により、 データの不正な改変を受ける脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のホワイトリストされた LWS プラグインを有効化することが可能です。 | 4.3 |
CVE 2025-12-07 03:00:09.983724 |
| CVE-2025-53243 | emarket-design Employee Directory - Staff Listing &; Team Directory Plugin for WordPress にオブジェクトインジェクションを許す、信頼できないデータのデシリアライゼーションの脆弱性が存在します。この問題は、Employee Directory - Staff Listing & Team Directory Plugin for WordPress: n/a から 4.5.3 に影響します。 | 8.1 |
CVE 2025-12-06 09:00:05.028789 |
| CVE-2025-48353 | dactum Clickbank WordPress Plugin (Niche Storefront) に CSRF (Cross-Site Request Forgery) 脆弱性があり、Stored XSS が可能です。この問題は、Clickbank WordPress Plugin (Niche Storefront): n/a から 1.3.5 に影響します。 | 7.1 |
CVE 2025-12-06 09:00:05.027847 |
| CVE-2025-48347 | Vincent Mimoun-Prat bxSlider integration for WordPress には、ウェブページ生成中の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、蓄積型 XSS を許しています。この問題は n/a から 1.7.2 までの bxSlider integration for WordPress に影響します。 | 6.5 |
CVE 2025-12-06 09:00:05.026921 |
| CVE-2025-48315 | stanton119 WordPress HTML には、Web ページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') の脆弱性があり、Stored XSS が可能です。この問題は n/a から 0.51 までの WordPress HTML に影響します。 | 6.5 |
CVE 2025-12-06 09:00:05.025678 |
| CVE-2025-9376 | Block Bad Bots and Stop Bad Bots Crawlers and Spiders and Anti Spam Protection plugin for WordPress は、11.58 までのすべてのバージョンにおいて、'stopbadbots_check_wordpress_logged_in_cookie' 関数の機能チェックが不十分なため、データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者がブロックリスト、レート制限、およびその他のプラグイン機能をバイパスすることが可能になります。 | 6.5 |
CVE 2025-12-06 09:00:05.011802 |
| CVE-2024-13908 | SMTP by BestWebSoft プラグイン for WordPress は、1.1.9 までのすべてのバージョンにおいて、'save_options' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.2 |
CVE 2025-12-06 03:00:05.493827 |
| CVE-2025-8073 | WordPress 用 WooCommerce プラグイン Dynamic AJAX Product Filters には、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'name' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-06 03:00:05.313335 |
| CVE-2025-6255 | WordPress 用 WooCommerce プラグイン Dynamic AJAX Product Filters には、1.3.7 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'className' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-06 03:00:05.312688 |
| CVE-2025-7956 | WordPress 用 Ajax Search Lite プラグインは、4.13.1 までのすべてのバージョンにおいて、AJAX 検索ハンドラの認可が欠落しているため、基本情報漏洩の脆弱性があります。このため、認証されていない攻撃者が AJAX リクエストを繰り返し発行し、保護された投稿の内容を 100 文字のウィンドウを転がるように漏洩させることが可能です。 | 5.3 |
CVE 2025-12-06 03:00:05.311944 |
| CVE-2025-7955 | バージョン 1.5 から 1.6.8 までの RingCentral Communications プラグインには、 ringcentral_admin_login_2fa_verify() 関数内の不適切な検証による 認証バイパス (Authentication Bypass) の脆弱性があります。これにより、認証されていない攻撃者は、同一の偽のコードを提供するだけで、任意のユーザとしてログインすることが可能になります。 | 9.8 |
CVE 2025-12-06 03:00:05.310662 |
| CVE-2024-13807 | WordPress 用 Xagio SEO プラグインは、7.1.0.5 までのすべてのバージョンにおいて、ファイル名の構造が弱く、ディレクトリが保護されていないため、バックアップ機能によって機密情報が漏洩する脆弱性があります。これにより、認証されていない攻撃者が、データベース全体やサイトのファイルを含むバックアップから機密データを抽出することが可能になります。 | 7.5 |
CVE 2025-12-06 03:00:05.309418 |
| CVE-2025-8977 | WordPress 用 Simple Download Monitor プラグインは、3.9.33 までのすべてのバージョンにおいて、order パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 このため、Contributor レベル以上のアクセス権を持ち、Administrator から付与された権限を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる追加の SQL クエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-12-06 03:00:05.308049 |
| CVE-2025-9346 | WordPress 用 Booking Calendar プラグインは、10.14.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-06 03:00:05.306672 |
| CVE-2025-9345 | WordPress 用の Managefy プラグインによる File Manager、Code Editor、Backup には、1.4.8 までのすべてのバージョンにおいて、ajax_downloadfile() 関数を経由した Path Traversal の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、本来意図されたディレクトリ外のファイルに対してアクションを実行することが可能になります。 | 4.9 |
CVE 2025-12-06 03:00:05.305620 |
| CVE-2025-8603 | WordPress 用 Elementor プラグイン Unlimited Elements For Elementor には、入力のサニタイズと出力のエスケープが不十分なため、1.5.148 までのすべてのバージョンにおいて、いくつかのウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-06 03:00:05.304359 |
| CVE-2025-0951 | LiquidThemes による WordPress 用の複数のプラグインおよび/またはテーマには、様々なバージョンで liquid_reset_wordpress_before AJAX の機能チェックが欠落しているため、不正アクセスの脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証された攻撃者は、サイトのすべてのプラグインを無効にすることが可能です。この問題をEnvatoに報告したところ、開発者はnonceチェックを追加したようですが、nonceはダッシュボードにアクセスできるすべてのユーザーに公開されるため、十分な保護にはなりません。 | 4.3 |
CVE 2025-12-06 03:00:05.303021 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.