WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-11867 | WordPress用のBg Book Publisherプラグインは、1.25までのすべてのバージョンにおいて、`[book_author]`ショートコードを通してレンダリングされる`book_author`投稿メタを経由した、蓄積型クロスサイト・スクリプティングの脆弱性があります。これはプラグインが出力前にメタ値を適切にエスケープしていないことが原因です。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.642541 |
| CVE-2025-11866 | WordPress 用 Photographers galleries プラグインは、1.1.8 までのすべてのバージョンにおいて、複数のショートコード属性 (`w`, `h`, `raw_css`, `look` など) を介した Stored Cross-Site Scripting の脆弱性があります。これは、HTML属性やインラインスタイルにこれらの値を挿入する際に、プラグインが適切にユーザ入力をサニタイズしたり、出力をエスケープしていないことが原因です。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.641580 |
| CVE-2025-11834 | WordPress 用 WP AD Gallery プラグインには、1.3 までのすべてのバージョンにおいて、ad-gallery ショートコードの 'startindex' パラメータを介した、蓄積型クロスサイトスクリプティングの脆弱性があります。これは、入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.640693 |
| CVE-2025-11830 | WordPress 用 WP Restaurant Listings プラグインには、1.0.2 までのすべてのバージョンにおいて、restaurant_summary ショートコードの 'align' パラメータを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これは、入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.639715 |
| CVE-2025-11827 | WordPress 用 Oboxmedia Ads プラグインには、1.9.8 までのすべてのバージョンにおいて、oboxads-ad-widget ショートコードの 'before_widget' および 'after_widget' パラメータを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これは入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.638822 |
| CVE-2025-11825 | WordPress 用 Playerzbr プラグインは、1.6 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'urlmeta' post meta フィールドを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.638286 |
| CVE-2025-11824 | WordPress 用 Cinza Grid プラグインは、1.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'cgrid_skin_content' post meta フィールドを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.637308 |
| CVE-2025-11819 | WordPress 用 WP-Thumbnail プラグインは、1.1 までのすべてのバージョンにおいて、'roboshot' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.636309 |
| CVE-2025-11818 | WordPress 用 WP Responsive Meet The Team プラグインには、1.0.1 までのすべてのバージョンにおいて、'wprm_team' ショートコードを経由した保存型クロスサイトスクリプティングの脆弱性があります。これは、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.635296 |
| CVE-2025-11817 | WordPress用のSimple Tableau Vizプラグインは、2.0までの全てのバージョンにおいて、'tableau'ショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これは、ユーザーが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.634754 |
| CVE-2025-11813 | WordPress 用の Responsive iframe GoogleMap プラグインは、1.0.2 までのすべてのバージョンにおいて、'responsive_map' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、'width' 属性と 'height' 属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.634120 |
| CVE-2025-11811 | WordPress 用 Simple Youtube Shortcode プラグインは、1.1.3 までのすべてのバージョンにおいて、'embed_youtube' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、'id' 属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.633096 |
| CVE-2025-11810 | WordPress 用 Print Button Shortcode プラグインは、1.0.1 までのすべてのバージョンにおいて、'print-button' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、'target' 属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.632065 |
| CVE-2025-11809 | WordPress 用 WP-Force Images Download プラグインは、1.8 までのすべてのバージョンにおいて、'wpfid' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、'class' 属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.630900 |
| CVE-2025-11807 | WordPress 用 Mixlr Shortcode プラグインは、1.0.1 までのすべてのバージョンにおいて、'mixlr' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これは、'url' 属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.629900 |
| CVE-2025-11804 | WordPress 用 JB News Ticker プラグインは、1.0 までのすべてのバージョンにおいて、'jbticker' ショートコードの 'id' ショートコード属性を経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これは、入力のサニタイズと出力のエスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.628827 |
| CVE-2025-10138 | WordPress 用 This-or-That プラグインは、1.0.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'thisorthat' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2026-01-30 09:00:23.627266 |
| CVE-2025-10047 | Email Tracker - Email Log, Email Open Tracking, Email Analytics & Email Management for WordPress WordPress用Eメールプラグインは、5.3.12までのすべてのバージョンにおいて、'orderby'パラメータを経由したSQLインジェクションの脆弱性があります。 これにより、管理者レベル以上のアクセス権を持つ、認証された攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 4.9 |
CVE 2026-01-30 09:00:23.613883 |
| CVE-2025-12033 | Simple Banner - Easily add multiple Banners/Bars/Notifications/Announcements to the top or bottom of your website plugin for WordPress は、3.0.10 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'pro_version_activation_code' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベルのアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2026-01-30 03:00:08.452341 |
| CVE-2025-10588 | WordPress 用 PixelYourSite - Your smart PIXEL (TAG) & API Manager プラグインは、11.1.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは adminEnableGdprAjax() 関数の nonce バリデーションが欠落しているか、正しくないことが原因です。これにより、認証されていない攻撃者が、リンクをクリックするなどのアクションを実行するようにサイト管理者をだますことができるように付与された偽造リクエストを介してGDPR設定を変更することが可能になります。 | 4.3 |
CVE 2026-01-30 03:00:08.451275 |
| CVE-2025-10570 | WordPress 用 WooCommerce プラグイン Flexible Refund and Return Order には、1.0.38 までのすべてのバージョンにおいて、save_refund_request() 関数を経由した Missing Authorization の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、自分が所有していない任意の注文に対して返金リクエストを送信することが可能になります。 | 4.3 |
CVE 2026-01-30 03:00:08.450139 |
| CVE-2025-5983 | 3.3以前のMeta Tag Manager WordPressプラグインは、http-equivリフレッシュ・メタタグを作成できるロールを制限していません。 | 6.5 |
CVE 2026-01-30 03:00:08.449070 |
| CVE-2025-10651 | WordPress 用 Welcart e-Commerce プラグインは、2.11.22 までのバージョンにおいて、'order_mail' 設定を経由した Stored Cross-Site Scripting の脆弱性があります。これは、order_mail フィールドのサニタイズが不十分で、出力時にエスケープが行われていないことが原因です。これにより、Editorレベル以上の権限を持つ認証済みの攻撃者が、管理者がEメール設定ページにアクセスした際に実行される、一般設定ページ経由で任意のWebスクリプトを注入することが可能になります。 | 5.5 |
CVE 2026-01-30 03:00:08.448168 |
| CVE-2025-10638 | NS Maintenance Mode for WP WordPressプラグイン1.3.1では、購読者のエクスポート機能に認証が欠けているため、認証されていない攻撃者がサイトの購読者の名前と電子メールアドレスを含むリストをダウンロードできる。 | 5.3 |
CVE 2026-01-30 03:00:08.445182 |
| CVE-2025-10916 | 1.0.4 より前の FormGent WordPress プラグインには、ファイルパスの検証が不十分なため、任意のファイルを削除される脆弱性があります。このため、認証されていない攻撃者がサーバ上の任意のファイルを削除することが可能です。 | 9.1 |
CVE 2026-01-29 03:00:06.362593 |
| CVE-2025-11536 | WordPress 用 Elementor プラグイン Element Pack Addons には、8.2.5 までのすべてのバージョンにおいて、wp_ajax_import_elementor_template アクションを経由した Blind Server-Side Request Forgery の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 5.0 |
CVE 2026-01-28 09:00:07.288084 |
| CVE-2025-11926 | WordPress 用 Related Posts Lite プラグインは、1.12 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.4 |
CVE 2026-01-26 09:00:06.608084 |
| CVE-2025-9890 | WordPress の Theme Editor プラグインは、3.0 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'theme_editor_theme' ページにおける nonce 検証の欠落または不正確さによるものです。これにより、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストを経由してリモートでコードを実行することが可能になります。 | 8.8 |
CVE 2026-01-26 09:00:06.596049 |
| CVE-2025-11256 | WordPress 用の Kognetiks Chatbot プラグインには、2.3.5 までのすべてのバージョンにおいて、いくつかの機能の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、認証されていない攻撃者が限られた安全なファイルをアップロードし、会話を消去することが可能になります。 | 5.3 |
CVE 2026-01-26 03:00:06.252554 |
| CVE-2025-10750 | WordPress 用 PowerBI Embed Reports プラグインは、1.2.0 までのすべてのバージョンにおいて、機密情報漏洩の脆弱性があります。これは、「init」にフックされた mo_epbr_admin_observer() 関数を介してアクセス可能な「testUser」エンドポイントに、機能チェックと認証検証が欠けていることが原因です。これにより、認証されていない攻撃者が、displayName、メール、電話、部署などの個人を特定できる情報（PII）や、Azure AD アプリケーション/クライアント ID、エラーコード、トレース ID、相関 ID などの詳細な OAuth エラーデータを含む、機密性の高い Azure AD ユーザー情報にアクセスすることが可能になります。 | 5.3 |
CVE 2026-01-26 03:00:06.251784 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.