WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8066 | WordPress 用の File Manager Pro - Filester プラグインは、1.8.6 までのすべてのバージョンにおいて、'fsConnector' 関数のバリデーションが欠落しているため、任意のファイルをアップロードされる脆弱性があります。このため、Subscriber レベル以上のアクセス権を持ち、管理者からパーミッションを与えられた認証済みの攻撃者が、新しい .htaccess ファイルをアップロードすることで、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 7.5 |
CVE 2025-03-08 09:00:06.257371 |
| CVE-2024-11788 | WordPress 用 StreamWeasels YouTube Integration プラグインは、1.3.6 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sw-youtube-embed' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.256599 |
| CVE-2024-11786 | WordPress 用 Login with Vipps and MobilePay プラグインは、1.3.3 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'continue-with-vipps' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.255997 |
| CVE-2024-11761 | WordPress用のLegalWeb Cloudプラグインは、1.1.2までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分であるため、プラグインの'legalweb-popup'ショートコードを介したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.255400 |
| CVE-2024-11685 | WordPress 用の `Kudos Donations - Easy donation and payments with Mollie` プラグインは、3.2.9 までのすべてのバージョンにおいて、URL で適切なエスケープを行わずに `add_query_arg` を使用しているため、Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、特別に細工されたリンクをクリックするなどのアクションをユーザーに実行させることに成功した場合、実行する任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-08 09:00:06.254652 |
| CVE-2024-11684 | Kudos Donations - Easy donation and payments with Mollie plugin for WordPress は、3.2.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、's' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-08 09:00:06.253923 |
| CVE-2024-11458 | WordPress 用 FAQ Builder AYS プラグインは、1.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'ys_faq_tab' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをうまく騙すことができれば、実行するページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-08 09:00:06.253177 |
| CVE-2024-11431 | WordPress 用 Ragic Shortcode プラグインは、1.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'ragic' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.252422 |
| CVE-2024-11366 | WordPress 用 SEO Landing Page Generator プラグインは、1.66.2 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようユーザーをだますことに成功した場合、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-08 09:00:06.251674 |
| CVE-2024-11333 | WordPress 用 HLS Player プラグインは、1.0.10 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの 'hls_player' ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.250799 |
| CVE-2024-11203 | EmbedPress - Embed PDF, 3D Flipbook, Social Feeds, Google Docs, Vimeo, Wistia, YouTube Videos, Audios, Google Maps in Gutenberg Block & Elementor plugin for WordPress には、4.1.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'provider_name' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-08 09:00:06.248052 |
| CVE-2024-11925 | WordPress 用の JobSearch WP Job Board プラグインは、2.6.7 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、user_account_activation関数を通してメールアドレスを検証する際に、プラグインがユーザの身元を適切に検証しないことに起因します。このため、認証されていない攻撃者は、ユーザの電子メールが知られている場合、サイト管理者を含む任意のユーザとしてログインすることが可能です。 | 9.8 |
CVE 2025-03-08 03:00:06.220896 |
| CVE-2024-11918 | WordPress 用 Image Alt Text プラグインは、2.0.0 までのすべてのバージョンにおいて、iat_add_alt_txt_action および iat_update_alt_txt_action AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。 このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意の画像の alt テキストを更新することが可能です。 | 4.3 |
CVE 2025-03-08 03:00:06.220131 |
| CVE-2024-10896 | 4.5.0より前のLogo Slider WordPressプラグインは、ロゴとスライダーの設定の一部をサニタイズおよびエスケープしていないため、Contributorのような高い権限を持つユーザーが、Stored Cross-Site Scriptingを実行できる可能性があります。 | 5.4 |
CVE 2025-03-08 03:00:06.219327 |
| CVE-2024-10510 | AdBuddy+ (AdBlocker Detection) by NetfunkDesign WordPress プラグイン（1.1.3まで）は、設定の一部をサニタイズおよびエスケープしていないため、unfiltered_html 機能が許可されていない場合（マルチサイト設定など）でも、管理者などの高権限ユーザーが Stored Cross-Site Scripting 攻撃を実行できる可能性があります。 | 4.8 |
CVE 2025-03-08 03:00:06.218417 |
| CVE-2024-10493 | 5.10.3以前のElement Pack Elementor Addons (Header Footer, Template Library, Dynamic Grid & Carousel, Remote Arrows) WordPressプラグインは、ブロックが埋め込まれているページ/投稿に出力する前に、ブロックオプションの一部を検証およびエスケープしません。 | 5.4 |
CVE 2025-03-08 03:00:06.217478 |
| CVE-2024-10473 | 4.5.0以前のLogo Slider WordPressプラグインは、Logo Sliderショートコードが埋め込まれているページでロゴ設定を出力する際に、一部のロゴ設定をサニタイズおよびエスケープしていないため、Author以下のロールを持つユーザーにクロスサイトスクリプティング攻撃を許してしまう可能性があります。 | 5.4 |
CVE 2025-03-08 03:00:06.212426 |
| CVE-2024-11009 | WordPress 用内部リンクの SEO トラフィックとランキング - 自動内部リンク (100% 自動) プラグインは、1.2.1 までのすべてのバージョンにおいて、ユーザが提供したパラメータのエスケープが不十分で、既存の SQL クエリの準備が十分でないため、'post_id' パラメータを介して時間ベースの SQL インジェクションの脆弱性があります。 このため、管理者レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能です。 | 4.9 |
CVE 2025-03-07 09:00:06.266380 |
| CVE-2024-10521 | WordPress Contact Forms by Cimatti プラグインは、1.9.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは process_bulk_action 関数の nonce バリデーションが欠けているか、正しくないことに起因します。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができ、付与された偽造リクエストによってフォームを削除することが可能になります。 | 4.3 |
CVE 2025-03-07 09:00:06.263550 |
| CVE-2024-10895 | WordPress 用の Counter Up - Animated Number Counter & Milestone Showcase プラグインは、2.4.0 までのすべてのバージョンにおいて、プラグインの 'lgx-counter' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-07 03:00:06.613116 |
| CVE-2024-10580 | Hustle - Email Marketing, Lead Generation, Optins, Popups plugin for WordPress は、7.8.5 までのすべてのバージョンにおいて、submit_form() 関数の機能チェックが欠落しているため、不正なフォーム送信の脆弱性があります。このため、認証されていない攻撃者が未公開のフォームを送信する可能性があります。 | 5.3 |
CVE 2025-03-07 03:00:06.611886 |
| CVE-2024-10175 | WordPress 用 WPBakery Page Builder (旧 Visual Composer) プラグインの Pricing Tables には、1.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの wdo_pricing_tables ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-07 03:00:06.610525 |
| CVE-2024-11219 | Otter Blocks - Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress には、3.0.6 までのすべてのバージョンにおいて、get_image 関数を経由した Path Traversal の脆弱性があります。これにより、認証されていない攻撃者がサーバ上の任意の画像を閲覧することが可能となり、機密情報を含む可能性があります。 | 5.3 |
CVE 2025-03-07 03:00:06.609164 |
| CVE-2024-11083 | WordPress 用 ProfilePress プラグインには、4.15.18 までのすべてのバージョンにおいて、WordPress のコア検索機能を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、管理者などの上位ロールに制限された投稿から機密データを抽出することが可能になります。 | 5.3 |
CVE 2025-03-07 03:00:06.604616 |
| CVE-2024-10878 | Sugar Calendar - Simple Event Management plugin for WordPress は、3.3.0 までのすべてのバージョンにおいて、 URL に適切なエスケープを施さずに add_query_arg と remove_query_arg を使用しているため、 Reflected Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようにユーザーをうまく騙すことができれば、実行するページ内に任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-03-06 09:00:10.026680 |
| CVE-2024-9461 | Total Upkeep - WordPress Backup Plugin plus Restore & Migrate by BoldGrid plugin for WordPress には、1.16.6 までのすべてのバージョンにおいて cron_interval パラメータを経由したリモートコード実行の脆弱性があります。これは入力検証とサニタイズの欠落によるものです。このため、管理者レベル以上のアクセス権を持つ、認証された攻撃者がサーバー上でコードを実行することが可能です。 | 7.2 |
CVE 2025-03-06 09:00:10.025833 |
| CVE-2024-8236 | Elementor Website Builder - More than Just a Page Builder plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、3.25.7 までのすべてのバージョンにおいて、Icon ウィジェットの 'url' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-03-06 09:00:10.025000 |
| CVE-2024-8899 | WordPress 用 Jeg Elementor Kit プラグインは、2.6.9 までのすべてのバージョンにおいて、class/elements/views/class-tabs-view.php 内の render_content 関数を経由して、機密情報暴露の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、機密のプライベートデータ、保留中のデータ、およびドラフトテンプレートデータを抽出することが可能になります。 | 4.3 |
CVE 2025-03-06 09:00:10.024298 |
| CVE-2024-11024 | WordPress 用プラグイン AppPresser - Mobile App Framework には、4.4.6 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、プラグインがパスワードを更新する前にユーザのパスワードリセットコードを適切に検証しないことが原因です。このため、ユーザのメールアドレスを知っている認証されていない攻撃者が、ユーザのパスワードをリセットし、そのアカウントにアクセスすることが可能になります。 | 9.8 |
CVE 2025-03-06 09:00:10.023706 |
| CVE-2024-10579 | Hustle - Email Marketing, Lead Generation, Optins, Popups plugin for WordPress は、7.8.5 までのすべてのバージョンにおいて、preview_module() 関数の機能チェックが欠落しているため、データへの不正アクセスの脆弱性があります。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、未公開のフォームを閲覧する可能性があります。 | 4.3 |
CVE 2025-03-06 09:00:10.022969 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.