WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-5700 | WordPress 用 Simple Logo Carousel プラグインは、1.9.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-25 09:00:05.211596 |
| CVE-2025-5291 | WordPress 用の Master Slider - Responsive Touch Slider プラグインは、3.10.8 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの masterslider_pb と ms_slide ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-25 09:00:05.210512 |
| CVE-2025-3880 | Poll, Survey & Quiz Maker Plugin by Opinion Stage plugin for WordPress は、19.9.0 までのすべてのバージョンにおいて、いくつかの機能の設定ミスにより、データが不正に変更される脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、アカウント接続用のメールアドレスを変更し、プラグインを切断することが可能になります。アカウントが切断されても、以前に作成されたコンテンツは表示され、機能します。 | 4.3 |
CVE 2025-09-25 09:00:05.209225 |
| CVE-2025-3515 | WordPress 用 Contact Form 7 プラグインの Drag and Drop Multiple File Upload には、1.3.8.9 までのすべてのバージョンにおいて、ファイルタイプの検証が不十分なため、任意のファイルをアップロードされる脆弱性があります。このため、認証されていない攻撃者がプラグインのブラックリストを迂回して .phar やその他の危険なファイルタイプをアップロードすることが可能となり、.phar ファイルを実行可能な PHP スクリプトとして扱うように設定されているサーバ、特に PHP インタプリタに渡される前にファイル拡張子が厳密に検証されないデフォルトの Apache+mod_php 設定において、リモートでコードを実行される可能性があります。 | 8.1 |
CVE 2025-09-25 09:00:05.183422 |
| CVE-2025-5209 | 5.5.10以前のIvory Search WordPressプラグインは、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、管理者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-09-25 03:00:04.340033 |
| CVE-2025-5673 | Blog2Social：WordPress 用の Social Media Auto Post & Scheduler プラグインは、8.4.4 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'prgSortPostType' パラメータを経由した SQL インジェクションの脆弱性があります。 このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者は、データベースから機密情報を抽出するために使用可能な追加のSQLクエリを既存のクエリに追加することが可能です。 | 6.5 |
CVE 2025-09-24 23:00:11.851478 |
| CVE-2025-4775 | WordPress Infinite Scroll - Ajax Load More プラグインは、7.4.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、data-button-label HTML 属性を介した Stored Cross-Site Scripting の脆弱性があります。このため、コントリビューター・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-24 23:00:11.849094 |
| CVE-2025-3774 | WordPress 用 Wise Chat プラグインは、3.3.4 までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、X-Forwarded-For ヘッダを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-09-24 23:00:11.813190 |
| CVE-2025-5337 | WordPress 用 MetaSlider プラグインの Slider、Gallery、Carousel には、入力のサニタイズと出力のエスケープが不十分なため、3.98.0 までのすべてのバージョンにおいて、'aria-label' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.330309 |
| CVE-2025-5238 | WordPress 用 YITH WooCommerce Wishlist プラグインは、4.5.0 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.329625 |
| CVE-2025-4667 | WordPress 用の Appointment Booking Calendar - Simply Schedule Appointments 予約プラグインは、1.6.8.30 までの全てのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの ssa_admin_upcoming_appointments, ssa_admin_upcoming_appointments, ssa_past_appointments ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.328509 |
| CVE-2025-6070 | WordPress 用 Restrict File Access プラグインは、1.1.2 までのすべてのバージョンにおいて、 output() 関数を経由した Directory Traversal の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報を含む可能性があります。 | 6.5 |
CVE 2025-09-22 09:00:08.327064 |
| CVE-2025-6065 | WordPress 用の Image Resizer On The Fly プラグインは、1.1 までのすべてのバージョンにおいて、'delete' タスクにおけるファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。このため、認証されていない攻撃者がサーバー上の任意のファイルを削除することが可能で、適切なファイル（wp-config.php など）が削除されると、リモートでコードが実行される可能性があります。 | 9.1 |
CVE 2025-09-22 09:00:08.326148 |
| CVE-2025-6064 | WordPress 用 WP URL Shortener プラグインは、1.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'url_shortener_settings' ページでの nonce 検証の欠落または不正確さに起因します。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.325155 |
| CVE-2025-6063 | WordPress 用 XiSearch バープラグインには、2.6 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'xisearch-key-config' ページの nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して、悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.324110 |
| CVE-2025-6062 | WordPress 用 Yougler Blogger Profile Page プラグインは、v1.01 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'yougler-plugin.php'ページのnonceバリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを使用してプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-09-22 09:00:08.323014 |
| CVE-2025-6061 | WordPress 用 kk Youtube Video プラグインには、0.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'kkytv' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.321948 |
| CVE-2025-6055 | WordPress 用 Zen Sticky Social プラグインには、0.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'zen-social-sticky/zen-sticky-social.php' ページにおける nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.320680 |
| CVE-2025-6040 | WordPress 用 Easy Flashcards プラグインは、0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは 'ef_settings_submenu' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-09-22 09:00:08.319919 |
| CVE-2025-5589 | WordPress 用 StreamWeasels Kick Integration プラグインは、1.1.3 までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'status-classic-offline-text' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.319181 |
| CVE-2025-5336 | WordPress 用 Click to Chat プラグインは、4.22 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'data-no-number' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.317949 |
| CVE-2025-4592 | AI Image Lab - Free AI Image Generator plugin for WordPress は、1.0.6 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、'wpz-ai-images' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを使用してプラグインの API キーを更新することが可能になります。 | 4.3 |
CVE 2025-09-22 09:00:08.316505 |
| CVE-2025-4216 | WordPress 用 DIOT SCADA with MQTT プラグインは、1.0.5.1 までのすべてのバージョンにおいて、入力のサニタイズとユーザー提供属性の出力エスケープが不十分なため、プラグインの 'diot' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-09-22 09:00:08.315424 |
| CVE-2025-4200 | Zagg - Electronics & Accessories WooCommerce WordPress Theme は、1.4.1 までのすべてのバージョンにおいて、少なくとも 3 つの AJAX アクションを介して呼び出される load_view() 関数を経由して、ローカルファイルインクルード（Local File Inclusion）の脆弱性があります：load_more_post'、'load_shop'、'load_more_product'。これにより、認証されていない攻撃者がサーバー上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行が可能となります。これは、アクセス制御を回避したり、機密データを取得したり、 画像やその他の「安全な」ファイル形式をアップロードしてインクルードする場合に コード実行を行うために使用することができます。 | 8.1 |
CVE 2025-09-22 09:00:08.313950 |
| CVE-2025-4187 | WordPress 用プラグイン UserPro - Community and User Profile WordPress Plugin には、5.1.10 までのすべてのバージョンにおいて、userpro_fbconnect() 関数を介したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能になり、機密情報が含まれる可能性があります。 | 5.9 |
CVE 2025-09-22 09:00:08.296936 |
| CVE-2025-49328 | Agile Logix Store Locator WordPress に SQL インジェクションの脆弱性が存在します。この問題は、Store Locator WordPress: n/a から 1.5.1 に影響します。 | 7.6 |
CVE 2025-09-22 03:00:08.705035 |
| CVE-2025-5487 | AutomatorWP - Automator plugin for no-code automations, webhooks & custom integrations in WordPress plugin for WordPress には、5.2.3 までのすべてのバージョンにおいて、field_conditions パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、データベースから機密情報を抽出するために使用できる追加のSQLクエリを既存のクエリに追加することが可能になります。管理者は、この機能へのアクセスを作者以上に許可するようにプラグインを設定することができます。 | 7.2 |
CVE 2025-09-22 03:00:08.532029 |
| CVE-2025-3234 | WordPress 用 File Manager Pro - Filester プラグインは、1.8.8 までのすべてのバージョンにおいて、ファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。管理者は、ファイル・マネージャの使用権限を、購読者を含む、より低レベルのユーザーに拡張する能力を持っており、このようなサイトでは、この脆弱性がより深刻になります。 | 7.2 |
CVE 2025-09-22 03:00:08.530459 |
| CVE-2025-6059 | WordPress 用 Seraphinite Accelerator プラグインには、2.27.21 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'OnAdminApi_CacheOpBegin' 関数における nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介して、キャッシュの削除を含むいくつかの管理アクションを実行することが可能になります。 | 4.3 |
CVE 2025-09-22 03:00:08.525397 |
| CVE-2025-6012 | WordPress 用 Auto Attachments プラグインは、1.8.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 5.5 |
CVE 2025-09-21 03:00:09.079424 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.