WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-9182 | 2.1.3以前のMaspik WordPressプラグインは、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、管理者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.608071 |
| CVE-2024-8854 | 1.0.77より前のPolls CP WordPressプラグインは、ポーリング設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーが（マルチサイト設定などで）ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 5.4 |
CVE 2025-08-23 09:00:08.607221 |
| CVE-2024-8851 | 1.0.77より前のPolls CP WordPressプラグインは、ポーリング設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーが（マルチサイト設定などで）ストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 5.4 |
CVE 2025-08-23 09:00:08.605840 |
| CVE-2024-8759 | 3.2.9より前のNested Pages WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.604129 |
| CVE-2024-8703 | 1.11.6より前のZ-Downloads WordPressプラグインは、ページ内でパラメータを出力する際に、一部のパラメータをサニタイズおよびエスケープしていないため、認証されていない訪問者が共有URLにアクセスする際にクロスサイトスクリプティング攻撃を行う可能性があります。 | 6.1 |
CVE 2025-08-23 09:00:08.603259 |
| CVE-2024-8702 | 4.9までのBackup Database WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者のような高権限ユーザーがStored Cross-Site Scripting攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.602446 |
| CVE-2024-8701 | 1.0.4までのevents-calendar WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.601523 |
| CVE-2024-8700 | Event Calendar WordPressプラグイン1.0.4では、削除アクションの認証チェックが行われないため、認証されていないユーザが任意のカレンダーを削除できてしまいます。 | 7.5 |
CVE 2025-08-23 09:00:08.600610 |
| CVE-2024-8699 | 1.11.5より前のZ-Downloads WordPressプラグインは、アップロードされたファイルを適切に検証しないため、管理者のような高い権限を持つユーザーが、許可されていないにもかかわらず、サーバー上に任意のファイルをアップロードできてしまいます（マルチサイト設定など）。 | 7.2 |
CVE 2025-08-23 09:00:08.599293 |
| CVE-2024-8673 | 1.11.7以前のZ-Downloads WordPressプラグインは、アップロードされたファイルを適切に検証しないため、悪意のあるJavaScriptを含むSVGをアップロードしてしまう可能性があります。 | 9.1 |
CVE 2025-08-23 09:00:08.598470 |
| CVE-2024-8670 | 1.8.29より前のPhoto Gallery by 10Web WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 4.8 |
CVE 2025-08-23 09:00:08.597266 |
| CVE-2024-8620 | 2.93 より前の MapPress Maps for WordPress プラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html 機能が許可されていない場合でも、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 4.8 |
CVE 2025-08-23 09:00:08.596626 |
| CVE-2024-8619 | 4.12.3より前のAjax Search Lite WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります（マルチサイト設定など）。 | 4.8 |
CVE 2025-08-23 09:00:08.595366 |
| CVE-2024-8618 | ページビルダー：1.9.0 より前の Pagelayer WordPress プラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html 機能が許可されていない場合でも、管理者などの高権限ユーザーが (マルチサイト設定などで) Stored クロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.594075 |
| CVE-2024-8617 | 6.5.9.9以前のQuiz Maker WordPressプラグインは、そのような管理者のような高特権ユーザーがunfiltered_html機能が許可されていない場合であっても（例えば、マルチサイトのセットアップで）ストアドクロスサイトスクリプティング攻撃を実行することができ、その設定の一部をサニタイズおよびエスケープされません。 | 4.8 |
CVE 2025-08-23 09:00:08.592544 |
| CVE-2024-8542 | 3.0.3.1より前のEverest Forms WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも(マルチサイト設定などで)、管理者のような高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.592067 |
| CVE-2024-8493 | 6.6.4以前のEvents Calendar WordPressプラグインは、設定の一部をサニタイズおよびエスケープしていません。このため、unfiltered_html機能が許可されていない場合でも、管理者などの高権限ユーザーが（マルチサイト設定などで）Stored Cross-Site Scripting攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.591560 |
| CVE-2024-8492 | 7.8.5までのHustle WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、編集者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.591094 |
| CVE-2024-8426 | ページビルダー：1.8.8以前のWordPressプラグインPagelayerは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、管理者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.590597 |
| CVE-2024-8398 | 2.1.3までのSimple Nav Archives WordPressプラグインは、設定を更新する際にCSRFチェックを行っていないため、CSRF攻撃によってログインした管理者に設定を変更させられる可能性がある。 | 4.3 |
CVE 2025-08-23 09:00:08.590114 |
| CVE-2024-8397 | 2.6.1より前のwebtoffee-gdpr-cookie-consent WordPressプラグインは、IPヘッダをログに記録する際に適切にIPヘッダをサニタイズおよびエスケープしないため、訪問者がStored Cross-Site Scripting攻撃を行う可能性があります。ペイロードは、管理者が「Consent report」ページにアクセスし、悪意のあるスクリプトが管理者コンテキストで実行されたときにトリガーされます。 | 5.4 |
CVE 2025-08-23 09:00:08.589549 |
| CVE-2024-8286 | 2.6.1より前のwebtoffee-gdpr-cookie-consent WordPressプラグインは、一部のバルクアクションでCSRFチェックを行っていないため、攻撃者はCSRF攻撃によって、ログインした管理者に訪問ログの削除などの不要なアクションを実行させることができます。 | 6.5 |
CVE 2025-08-23 09:00:08.588703 |
| CVE-2024-8284 | 3.2.99より前のDownload Manager WordPressプラグインは、その設定の一部をサニタイズおよびエスケープしていないため、unfiltered_htmlが許可されていない場合でも、編集者などの高権限ユーザーがクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.588223 |
| CVE-2024-8245 | 1.0.1より前のGamiPress WordPressプラグインは、設定を更新する際にCSRFチェックを行っていないため、CSRF攻撃によってログインした管理者に設定を変更させられる可能性がある。 | 4.3 |
CVE 2025-08-23 09:00:08.587668 |
| CVE-2024-8187 | 3.0.1より前のSmart Post Show WordPressプラグインでは、設定の一部がサニタイズおよびエスケープされないため、unfiltered_html機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーがストアドクロスサイトスクリプティング攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-08-23 09:00:08.587063 |
| CVE-2024-8095 | 1.1.5までのBabelZ WordPressプラグインには、CSRFチェックがない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者にCSRF攻撃でStored XSSペイロードを追加させることができます。 | 6.1 |
CVE 2025-08-23 09:00:08.586226 |
| CVE-2024-8094 | 2.0e までの Ntz Antispam WordPress プラグインには、設定を更新する際の CSRF チェック機能がないため、ログインしている管理者に CSRF 攻撃で設定を変更させられる可能性があります。 | 6.5 |
CVE 2025-08-23 09:00:08.585306 |
| CVE-2024-8090 | 0.1 までの JavaScript Logic WordPress プラグインには CSRF チェックがない箇所があり、エスケープだけでなくサニタイズも欠落しているため、攻撃者はログインした管理者に CSRF 攻撃で Stored XSS ペイロードを追加させることができます。 | 6.1 |
CVE 2025-08-23 09:00:08.584763 |
| CVE-2024-8085 | 1.1.9までのPeoplePond WordPressプラグインにはCSRFチェックがない箇所があり、サニタイズとエスケープが欠けているため、攻撃者はログインした管理者にCSRF攻撃によってStored XSSペイロードを追加させることができます。 | 6.1 |
CVE 2025-08-23 09:00:08.584198 |
| CVE-2024-8082 | 0.1 までの Widgets Reset WordPress プラグインには、設定を更新する際の CSRF チェック機能がないため、CSRF 攻撃によってログインした管理者に設定を変更させられる可能性がある。 | 4.3 |
CVE 2025-08-23 09:00:08.583352 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.