WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-7645 | WordPress 用 Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) プラグインは、3.2.8 までのすべてのバージョンにおいて、'delete-file' フィールドにおけるファイルパスのバリデーションが不十分なため、任意のファイルを削除される脆弱性があります。これにより、管理者が投稿を削除した際に、認証されていない攻撃者がサーバ上の任意のファイルを削除することが可能となり、適切なファイル（wp-config.php など）が削除された場合に、容易にリモートでコードが実行される可能性があります。 | 8.1 |
CVE 2025-10-30 03:00:04.764751 |
| CVE-2025-7644 | WordPress 用 Pixel Gallery Addons for Elementor - Easy Grid, Creative Gallery, Drag and Drop Grid, Custom Grid Layout, Portfolio Gallery プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.6.7 までのすべてのバージョンにおいて、すべてのウィジェットの URL を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-30 03:00:04.763416 |
| CVE-2025-7495 | WordPress 用 WP-Members Membership Plugin プラグインは、3.5.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'wpmem_login_link' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-30 03:00:04.761735 |
| CVE-2025-6585 | WordPress 用 WP JobHunt プラグインは、cs_remove_profile_callback() 関数を経由する、7.2 までのすべてのバージョンにおいて、ユーザが制御するキーのバリデーションが欠落しているため、Insecure Direct Object Reference の脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、管理者を含む他のユーザのアカウントを削除することが可能になります。 | 8.1 |
CVE 2025-10-30 03:00:04.738036 |
| CVE-2025-6831 | WordPress 用 User Registration プラグインは、4.2.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの urcr_restrict ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 23:00:28.599046 |
| CVE-2025-5240 | CRM and Lead Management by vcita plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、2.7.5 までのすべてのバージョンにおいて、'type' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 23:00:28.597339 |
| CVE-2015-10137 | WordPress 用の Website Contact Form With File Upload プラグインは、1.3.4 までのバージョンにおいて、'upload_file()' 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-29 23:00:28.596199 |
| CVE-2012-10020 | WordPress 用の FoxyPress プラグインは、0.4.2.1 までのバージョンにおいて uploadify.php ファイルのファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-29 23:00:28.594386 |
| CVE-2025-7486 | WordPress 用 Ebook Store プラグインは、5.8012 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、Order Details を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2025-10-29 23:00:28.572718 |
| CVE-2025-7369 | WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress は、7.4.2 までのすべてのバージョンにおいて、Cross-Site Request Forgery の脆弱性があります。これは、プレビュー機能における nonce バリデーションの欠落または不正確さによるものです。このため、認証されていない攻撃者が偽造リクエストを経由して任意のショートコードを実行したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させたりすることが可能になります。 CVE-2025-7354 と組み合わせると、Reflected Cross-Site Scripting になります。 | 6.1 |
CVE 2025-10-29 03:00:09.308203 |
| CVE-2025-7354 | WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress は、7.4.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.306376 |
| CVE-2025-4685 | WordPress 用プラグイン Gutentor - Gutenberg Blocks - Page Builder for Gutenberg Editor には、3.4.8 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、複数のウィジェットの HTML データ属性を介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-29 03:00:09.304383 |
| CVE-2025-54352 | WordPress 3.5 から 6.8.2 では、リモートの攻撃者が pingback.ping XML-RPC リクエスト経由で非公開投稿や下書き投稿のタイトルを推測することが可能です。注意: サプライヤはこの動作を変更していません。 | 3.7 |
CVE 2025-10-29 03:00:09.277212 |
| CVE-2015-10139 | WordPress 用テーマ WPLMS には、バージョン 1.5.2 から 1.8.4.1 において、'wp_ajax_import_data' AJAX アクションを経由した特権昇格の脆弱性があります。これにより、認証された攻撃者は、制限された設定を変更したり、アクセス可能な新しい管理者アカウントを作成したりすることが可能になります。 | 8.8 |
CVE 2025-10-27 09:00:13.617807 |
| CVE-2015-10138 | WordPress 用の Work The Flow File Upload プラグインは、2.5.2 までのバージョンにおいて、jQuery-File-Upload-9.5.0 サーバおよびテストファイルのファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能になり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-27 09:00:13.616278 |
| CVE-2016-15043 | WordPress 用 WP Mobile Detector プラグインは、3.5 までのバージョンにおいて、resize.php ファイルのファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-27 09:00:13.615692 |
| CVE-2015-10136 | WordPress 用 GI-Media Library プラグインは、3.0 より前のバージョンにおいて、 'fileid' パラメータを経由したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報を含む可能性があります。 | 7.5 |
CVE 2025-10-27 09:00:13.615171 |
| CVE-2015-10135 | WPshop 2 - E-Commerce plugin for WordPress は、1.3.9.6 より前のバージョンにおいて ajaxUpload 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバ上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-27 09:00:13.614383 |
| CVE-2015-10134 | WordPress 用 Simple Backup プラグインは、2.7.10 までのバージョンにおいて、download_backup_file 関数を介した任意のファイルダウンロードの脆弱性があります。これはケイパビリティチェックとファイルタイプの検証の欠如によるものです。これにより、攻撃者は影響を受けたサイトから wp-config.php ファイルなどの機密ファイルをダウンロードすることが可能になります。 | 7.5 |
CVE 2025-10-27 09:00:13.613092 |
| CVE-2015-10133 | WordPress 用の Subscribe to Comments は、2.1.2 までのバージョンにおいて、ヘッダ値への Path を経由したローカルファイルインクルード(Local File Inclusion)の脆弱性があります。これにより、管理者権限以上の認証された攻撃者が、サーバ上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしたりインクルードしたり する場合にコードの実行を可能にします。また、この同じ機能を使用して任意の PHP コードを実行することも可能です。 | 7.2 |
CVE 2025-10-27 09:00:13.611790 |
| CVE-2012-10019 | WordPress 用の Front End Editor プラグインは、2.3 より前のバージョンにおいて upload.php ファイルを介したファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-27 09:00:13.609831 |
| CVE-2025-6997 | WordPress 用 ThemeREX Addons プラグインは、2.35.1.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、SVG ファイルのアップロードを経由した Stored Cross-Site Scripting の脆弱性があります。プラグインのSVGレンダリングルーチンは、ショートコードまたはElementorウィジェットの設定によって提供された検証されていない'svg'パラメータでtrx_addons_get_svg_from_file()関数を呼び出し、trx_addons_show_layout()関数を通して出力します。 URL のオリジン、スキーム、または SVG コンテンツ自体に対するチェックがないため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者は、リモートの SVG を提供し、ユーザーが SVG ファイルにアクセスするたびに実行される任意のウェブスクリプトをページに注入することができる。 | 6.4 |
CVE 2025-10-27 09:00:13.568431 |
| CVE-2025-6721 | WordPress 用 Vchasno Kasa プラグインは、1.0.3 までのすべてのバージョンにおいて、 mrkv_vchasno_kasa_wc_do_metabox_action() 関数の機能チェックが欠落しているため、 データへの不正アクセスの脆弱性があります。これにより、認証されていない攻撃者が任意の注文の請求書を生成することが可能になります。 | 5.3 |
CVE 2025-10-27 03:00:17.214076 |
| CVE-2025-6720 | WordPress 用 Vchasno Kasa プラグインは、1.0.3 までのすべてのバージョンにおいて、 clear_all_log() 関数の機能チェックが欠落しているため、不正にデータを消失させられる脆弱性があります。このため、認証されていない攻撃者がログファイルを消去することが可能です。 | 5.3 |
CVE 2025-10-27 03:00:17.213131 |
| CVE-2025-7697 | Integration for Google Sheets and Contact Form 7, WPForms, Elementor, Ninja Forms plugin for WordPress には、1.1.1 までのすべてのバージョンにおいて、 verify_field_val() 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。また、Contact Form 7 プラグインには POP チェーンが存在し、プラグインと一緒に使われる可能性が高いため、攻撃者は任意のファイルを削除することができ、wp-config.php ファイルが削除されるとサービス拒否やリモートコード実行につながります。 | 9.8 |
CVE 2025-10-27 03:00:17.212494 |
| CVE-2025-7696 | Integration for Pipedrive and Contact Form 7, WPForms, Elementor, Ninja Forms plugin for WordPress には、1.2.3 までのすべてのバージョンにおいて、 verify_field_val() 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。Contact Form 7 プラグインに POP チェーンが追加されている場合、攻撃者は任意のファイルを削除することができ、wp-config.php ファイルが削除されるとサービス拒否やリモートコード実行につながります。 | 9.8 |
CVE 2025-10-27 03:00:17.211919 |
| CVE-2025-7669 | WordPress 用 Avishi WP PayPal Payment Button プラグインは、2.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'avishi-wp-paypal-payment-button/index.php'ページでのnonceバリデーションの欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-10-27 03:00:17.211334 |
| CVE-2025-7661 | WordPress 用 Partnerský systém Martinus プラグインは、1.7.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'martinus' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-27 03:00:17.210694 |
| CVE-2025-7658 | WordPress 用 Temporarily Hidden Content プラグインは、1.0.6 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'temphc-start' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-27 03:00:17.209706 |
| CVE-2025-7655 | WordPress 用 Live Stream Badger プラグインは、1.4.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'livestream' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-27 03:00:17.208507 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.