WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-8860 | WordPress 用の Tourfic プラグインには、tf_order_status_email_resend_function, tf_visitor_details_edit_function の機能チェックが欠けているため、データを不正に変更される脆弱性があります、tf_checkinout_details_edit_function、tf_order_status_edit_function、tf_order_bulk_action_edit_function、tf_remove_room_order_ids、および tf_delete_old_review_fields 関数の機能チェックが欠落しているためです。14.5.これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者が、注文ステータスメールの再送信、訪問者/注文の詳細の更新、チェックイン/アウトの詳細の編集、注文ステータスの編集、注文ステータスの一括更新の実行、ルームオーダーIDの削除、古いレビューフィールドの削除をそれぞれ行うことが可能になります。 | 4.3 |
CVE 2025-12-04 03:00:05.724552 |
| CVE-2025-5931 | WordPress 用 Dokan Pro プラグインには、4.0.5 までのすべてのバージョンにおいて、アカウント乗っ取りによる特権昇格の脆弱性があります。これは、スタッフのパスワードリセット中にパスワードを更新する前に、プラグインがユーザの身元を適切に検証しないことが原因です。これにより、ベンダーレベル以上のアクセス権を持つ認証された攻撃者が、スタッフのレベルまで特権を昇格させ、管理者のパスワードを含む任意のユーザーパスワードを変更して、そのアカウントにアクセスすることが可能になります。デフォルトでは、このプラグインは顧客がベンダーになることを許可しています。 | 8.8 |
CVE 2025-12-04 03:00:05.723408 |
| CVE-2025-9172 | WordPress 用 Vibes プラグインは、2.2.0 までのすべてのバージョンにおいて、 ユーザが提供したパラメータに対するエスケープが不十分であり、 既存の SQL クエリに対する準備が不十分であるため、 'resource' パラメータを経由した時間ベースの SQL インジェクションに対して脆弱です。 これにより、認証されていない攻撃者は、データベースから機密情報を抽出するために使用できる追加のSQLクエリを、すでに存在するクエリに追加することが可能になります。 | 7.5 |
CVE 2025-12-04 03:00:05.720868 |
| CVE-2025-8562 | WordPress 用 Custom Query Shortcode プラグインは、0.4.0 までのすべてのバージョンにおいて、'lens' パラメータを経由した Path Traversal の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、機密情報を含む可能性のあるサーバ上のファイルの内容を読み取ることが可能になります。 | 6.5 |
CVE 2025-12-03 09:00:07.494921 |
| CVE-2025-8208 | WordPress 用 Spexo Addons for Elementor プラグインは、1.0.23 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのカウントダウンウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-02 03:00:06.460891 |
| CVE-2024-13888 | WordPress 用 WPMobile.App プラグインは、11.56 までのすべてのバージョンにおいて Open Redirect の脆弱性があります。これは、'redirect' パラメータ経由で提供されるリダイレクト URL の検証が不十分なためです。このため、認証されていない攻撃者がユーザーを騙してアクションを実行させることに成功した場合、潜在的に悪意のあるサイトへリダイレクトさせることが可能になります。 | 7.2 |
CVE 2025-12-01 03:00:07.572403 |
| CVE-2025-5821 | WordPress 用 Case Theme User プラグインは、1.0.3 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。これは、facebook_ajax_login_callback() によって事前に検証されたデータを使って、プラグインがユーザーを適切にログインさせないことが原因です。このため、認証されていない攻撃者は、サイトに既存のアカウントがあり、管理者ユーザの電子メールにアクセスできる限り、管理者ユーザとしてログインすることが可能です。 | 9.8 |
CVE 2025-12-01 03:00:07.355226 |
| CVE-2025-5060 | WordPress 用 Bravis User プラグインは、1.0.0 までのすべてのバージョンにおいて Authentication Bypass の脆弱性があります。 これは、facebook_ajax_login_callback() を通じて事前に検証されたデータを使用して、プラグインがユーザーを適切にログインさせないことが原因です。このため、認証されていない攻撃者は、サイトに既存のアカウントがあり、管理者ユーザの電子メールにアクセスできる限り、管理者ユーザとしてログインすることが可能です。 | 8.1 |
CVE 2025-12-01 03:00:07.353592 |
| CVE-2025-7813 | Event Calendar, Event Booking, Registrations and Event Tickets - Eventin plugin for WordPress には、4.0.37 までのすべてのバージョンにおいて、proxy_image 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、認証されていない攻撃者がウェブアプリケーションから任意の場所にウェブリクエストを行うことが可能になり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 7.2 |
CVE 2025-12-01 03:00:07.351287 |
| CVE-2025-9131 | WordPress 用プラグイン Ogulo - 360° Tour には、1.0.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'slug' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-01 03:00:07.349565 |
| CVE-2025-9048 | WordPress 用 Wptobe-memberships プラグインは、3.4.2 までのすべてのバージョンにおいて、 del_img_ajax_call() 関数のファイルパスの検証が不十分なため、 任意のファイルを削除される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者がサーバ上の任意のファイルを削除することが可能となり、適切なファイル（wp-config.php など）が削除されると、容易にリモートでコードが実行される可能性があります。 | 8.1 |
CVE 2025-12-01 03:00:07.348227 |
| CVE-2025-8062 | WordPress 用 WS Theme Addons プラグインは、2.0.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なため、プラグインの ws_weather ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-01 03:00:07.347033 |
| CVE-2025-7957 | WordPress 用 ShortcodeHub プラグインは、1.7.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'author_link_target' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-12-01 03:00:07.346137 |
| CVE-2025-7842 | WordPress用のSilencesoft RSS Readerプラグインは、0.6までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、'sil_rss_edit_page' ページで nonce バリデーションが欠落しているか、正しくないことが原因です。このため、認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするなどのアクションを実行させ、偽造リクエストによって RSS フィードを削除することが可能になります。 | 4.3 |
CVE 2025-12-01 03:00:07.344997 |
| CVE-2025-7841 | Sertifier Certificate & Badge Maker for WordPress - Tutor LMS plugin for WordPress は、1.19 までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは、'sertifier_settings' ページでの nonce 検証の欠落または不正確さが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる偽造リクエストを使用して、プラグインの API キーを更新することが可能になります。 | 4.3 |
CVE 2025-12-01 03:00:07.343916 |
| CVE-2025-7839 | WordPress 用の Restore Permanently delete Post or Page Data プラグインは、1.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、rp_dpo_dpa_ajax_dp_delete_data() 関数の nonce バリデーションが欠けているか、正しくないことに起因します。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者を騙すことができる、 偽装されたリクエストによってデータを削除することが可能になります。 | 4.3 |
CVE 2025-12-01 03:00:07.342503 |
| CVE-2025-7828 | WordPress 用 WP Filter & Combine RSS Feeds プラグインは、0.4 までのすべてのバージョンにおいて post_listing_page() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ、認証された攻撃者がフィードを削除することが可能です。 | 4.3 |
CVE 2025-12-01 03:00:07.341366 |
| CVE-2025-7827 | WordPress 用 Ni WooCommerce Customer Product Report プラグインは、1.2.4 までのすべてのバージョンにおいて、ni_woocpr_action() 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2025-12-01 03:00:07.340611 |
| CVE-2025-7821 | WordPress 用 WC Plus プラグインは、1.2.0 までのすべてのバージョンにおいて、'pluswc_logo_favicon_logo_base' AJAX アクションの機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者がサイトのファビコンロゴベースを更新することが可能になります。 | 5.3 |
CVE 2025-12-01 03:00:07.339366 |
| CVE-2025-7642 | WordPress 用 Simpler Checkout プラグインは、バージョン 0.7.0 から 1.1.9 において Authentication Bypass の脆弱性があります。これは、simplerwc_woocommerce_order_created() 関数を通して管理者としてログインする前に、プラグインがユーザの身元を適切に検証しないことが原因です。これにより、認証されていない攻撃者が注文 ID に基づいて他のユーザとしてログインすることが可能になります。 | 9.8 |
CVE 2025-12-01 03:00:07.336369 |
| CVE-2025-9331 | WordPress用テーマSpaciousは、1.9.11までのすべてのバージョンにおいて、'welcome_notice_import_handler'関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が、デモデータをサイトにインポートすることが可能になってしまいます。 | 4.3 |
CVE 2025-11-30 09:00:07.286184 |
| CVE-2025-0916 | YaySMTP とメールログ：Amazon SES, SendGrid, Outlook, Mailgun, Brevo, Google and Any SMTP Service plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、バージョン 2.4.9 から 2.6.2 において Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。注意: この脆弱性は、バージョン 2.4.8 で最初に修正されましたが、バージョン 2.4.9 で WordPress 組み込みのサニタイズ関数 wp_kses_post() が削除されたことにより、再び導入されました。 | 7.2 |
CVE 2025-11-30 03:00:08.317227 |
| CVE-2025-8678 | WordPress 用 WP Crontrol プラグインは、バージョン 1.17.0 から 1.19.1 において、'wp_remote_request' 関数を経由したブラインド Server-Side Request Forgery の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 5.9 |
CVE 2025-11-30 03:00:08.081164 |
| CVE-2025-8281 | WP Talroo WordPressプラグイン2.4は、ページ内にパラメータを出力する前に、パラメータをサニタイズおよびエスケープしないため、Reflected Cross-Site Scriptingが発生し、管理者や認証されていないユーザーなどの高権限ユーザーに対して使用される可能性があります。 | 7.1 |
CVE 2025-11-30 03:00:08.078409 |
| CVE-2024-13704 | WordPress 用 Super Testimonials プラグインは、4.0.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'st_user_title' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-29 23:00:10.412514 |
| CVE-2025-0924 | WordPress 用 WP Activity Log プラグインは、5.2.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'message' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 7.2 |
CVE 2025-11-29 09:00:35.738923 |
| CVE-2025-8064 | WordPress 用 Bible SuperSearch プラグインは、入力のサニタイズと出力のエスケープが不十分なため、6.0.1 までのすべてのバージョンにおいて、'selector_height' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-29 09:00:31.098386 |
| CVE-2025-8895 | WordPress 用 WP Webhooks プラグインは、3.3.5 までのすべてのバージョンにおいて、ユーザが提供する入力のバリデーションが欠落しているため、任意のファイルをコピーされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上の任意のファイルを任意の場所にコピーすることが可能になります。これを利用して、wp-config.php の内容をテキストファイルにコピーし、ブラウザからアクセスしてデータベースの認証情報を明らかにすることができます。 | 9.8 |
CVE 2025-11-29 03:00:05.359303 |
| CVE-2025-8607 | SlingBlocks - Gutenberg Blocks by FunnelKit (Formerly WooFunnels) plugin for WordPress は、1.6.0 までのすべてのバージョンにおいて、ユーザーから提供された属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの Countdown ブロックの属性を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-29 03:00:05.357903 |
| CVE-2025-8592 | WordPress用テーマInspiroは、2.1.2までのすべてのバージョンにおいて、クロスサイトリクエストフォージェリの脆弱性があります。これは inspiro_install_plugin() 関数の nonce 検証の欠落または不正確さに起因します。このため、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようサイト管理者をだまし、 偽のリクエストを使ってリポジトリからプラグインをインストールすることが可能になります。 | 8.1 |
CVE 2025-11-29 03:00:05.357055 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.