WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-7688 | WordPress 用 Add User Meta プラグインには、1.0.1 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'add-user-meta' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-11-08 03:00:12.012024 |
| CVE-2025-7662 | WordPress 用 Gestion de tarifs プラグインは、1.4 までのすべてのバージョンにおいて、ユーザが提供するパラメータのエスケープが不十分であり、既存の SQL クエリの準備が十分でないため、'tarif' および 'intitule' ショートコード経由で SQL インジェクションを受ける脆弱性があります。 これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用できる、追加のSQLクエリを既存のクエリに追加することが可能になります。 | 6.5 |
CVE 2025-11-08 03:00:12.011104 |
| CVE-2025-7650 | WordPress 用 BizCalendar Web プラグインは、1.1.0.50 までのすべてのバージョンにおいて、'bizcalv' ショートコード経由でのローカルファイル組み込みの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ、 認証された攻撃者がサーバ上の任意のファイルをインクルードして実行することが 可能になり、それらのファイル内の任意の PHP コードの実行が可能になります。これは、画像や他の「安全な」ファイルタイプがアップロードされ、インクルードされる場合に、アクセス制御をバイパスしたり、機密データを取得したり、コードを実行したりするために使用される可能性があります。 | 7.5 |
CVE 2025-11-08 03:00:12.009192 |
| CVE-2025-7641 | WordPress 用 NextGEN Gallery プラグイン Assistant には、1.0.9 までのすべてのバージョンにおいて、/wp-json/nextgenassistant/v1.0.0/control REST エンドポイントにおけるファイルパスの検証が不十分なため、任意のディレクトリを削除される脆弱性があります。これにより、認証されていない攻撃者がサーバー上の任意のディレクトリを削除することが可能になり、可用性が完全に失われる可能性があります。 | 7.5 |
CVE 2025-11-08 03:00:12.008638 |
| CVE-2025-7507 | elink - Embed Content plugin for WordPress は、1.1.0 までのすべてのバージョンにおいて、Malicious Redirect の脆弱性があります。これは、プラグインがelinkショートコードを通して提供できるURLを制限していないためです。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、悪意のあるドメインにユーザーをリダイレクトするために利用できるHTMLファイルを提供することが可能になります。 | 6.4 |
CVE 2025-11-08 03:00:12.007965 |
| CVE-2025-5844 | WordPress 用 Radius Blocks プラグインは、2.2.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'subHeadingTagName' パラメータを経由した保存型クロスサイトスクリプティングの脆弱性があります。このため、コントリビューター・レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 03:00:12.006589 |
| CVE-2025-8604 | WordPress 用プラグイン WP Table Builder - WordPress Table Plugin には、2.0.12 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの wptb ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 03:00:12.005419 |
| CVE-2025-8451 | Essential Addons for Elementor - Popular Elementor Templates & Widgets plugin for WordPress は、入力のサニタイズと出力のエスケープが不十分なため、6.2.2 までのすべてのバージョンにおいて、'data-gallery-items' パラメータを介した DOM ベースの蓄積型クロスサイトスクリプティングの脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 03:00:12.004294 |
| CVE-2025-8013 | WordPress 用 Quttera Web Malware Scanner プラグインは、3.5.1.41 までのすべてのバージョンにおいて、'RunExternalScan' 関数を介した Server-Side Request Forgery の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に使用される可能性があります。 | 3.8 |
CVE 2025-11-08 03:00:12.003278 |
| CVE-2025-6679 | WordPress 用 Bit Form builder プラグインは、2.20.4 までのすべてのバージョンにおいて、ファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートでコードを実行される可能性があります。これを悪用するには、PROバージョンもインストールし、有効化する必要があります。さらに、高度なファイルアップロード要素を持つフォームを公開する必要があります。 | 9.8 |
CVE 2025-11-08 03:00:12.001751 |
| CVE-2025-8867 | Graphina - Elementor Charts and Graphs plugin for WordPress は、バージョン 3.1.3 以下において、複数のチャートウィジェットパラメータを経由した、蓄積型クロスサイトスクリプティングの脆弱性があります。これは、チャートのカテゴリ、タイトル、ツールチップの設定など、ユーザが提供する属性の入力サニタイズと出力エスケープが不十分なためです。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブ・スクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-11-08 03:00:12.000760 |
| CVE-2025-8680 | B Slider- Gutenberg Slider Block for WP plugin for WordPress は、2.0.0 以下のバージョンにおいて、fs_api_request 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 4.3 |
CVE 2025-11-08 03:00:11.999872 |
| CVE-2025-8676 | B Slider- Gutenberg Slider Block for WP plugin for WordPress は、2.0.0 以下のバージョンにおいて、get_active_plugins 関数を介した機密情報漏洩の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、インストールされたプラグイン情報を含む機密データを抽出することが可能になります。 | 4.3 |
CVE 2025-11-08 03:00:11.998648 |
| CVE-2025-8342 | WordPress 用 WooCommerce OTP Login With Phone Number, OTP Verification プラグインは、1.8.47 までのすべてのバージョンにおいて、lwp_ajax_register 関数の空値チェックが不十分であるため、認証バイパスの脆弱性があります。これにより、未認証の攻撃者は、Firebase API キーが設定されていない場合の不適切な Firebase API エラー処理を悪用することで、OTP 認証をバイパスし、電話番号が設定された任意のユーザーアカウントへの管理アクセスを取得することが可能になります。 | 8.1 |
CVE 2025-11-08 03:00:11.997671 |
| CVE-2025-6025 | WordPress 用 WooCommerce プラグイン Order Tip for WooCommerce には、1.5.4 までのすべてのバージョンにおいて、認証されていない不適切な入力検証の脆弱性があります。これは `data-tip` 属性にサーバサイドのバリデーションがないためで、認証されていない攻撃者が過大な、あるいはマイナスのチップ額を適用することが可能です。 | 7.5 |
CVE 2025-11-08 03:00:11.997177 |
| CVE-2025-54676 | vcita Online Booking & Scheduling Calendar for WordPress by vcita には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、蓄積型 XSS が可能です。この問題は n/a から 4.5.3 までの vcita WordPress 用オンライン予約・スケジュールカレンダーに影響します。 | 6.5 |
CVE 2025-11-08 03:00:11.996666 |
| CVE-2025-52731 | themefunction WordPress Event Manager, Event Calendar and Booking Plugin の Missing Authorization 脆弱性により、不正に設定されたアクセス制御のセキュリティレベルを悪用される可能性があります。この問題は、WordPress Event Manager, Event Calendar and Booking Plugin: n/a から 4.0.24 に影響します。 | 7.5 |
CVE 2025-11-08 03:00:11.996152 |
| CVE-2025-52730 | themefunction WordPress Event Manager, Event Calendar and Booking Plugin に、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、蓄積型 XSS が可能です。この問題は、WordPress Event Manager, Event Calendar and Booking Plugin: n/a から 4.0.24 に影響します。 | 6.5 |
CVE 2025-11-08 03:00:11.995664 |
| CVE-2025-52728 | WebCodingPlace Responsive Posts Carousel WordPress プラグインには、PHP プログラムにおける Include/Require ステートメントのファイル名の不適切な制御 ('PHP リモートファイルインクルージョン') の脆弱性があり、PHP ローカルファイルインクルージョンが可能です。この問題は、Responsive Posts Carousel WordPress Plugin: n/a から 15.0 に影響します。 | 7.5 |
CVE 2025-11-08 03:00:11.995098 |
| CVE-2025-28975 | redqteam Alike - WordPress Custom Post Comparison には、ウェブページ生成時の入力の不適切な中和 ('クロスサイトスクリプティング') 脆弱性があり、Reflected XSS が可能です。この問題は Alike - WordPress Custom Post Comparison: n/a から 3.0.1 に影響します。 | 7.1 |
CVE 2025-11-08 03:00:11.994250 |
| CVE-2025-8047 | disable-right-click-powered-by-pixterme through v1.2およびpixter-image-digital-license thtough v1.0 WordPressプラグインは、明らかに放棄されたS3バケットから侵害されたJavaScriptファイルを読み込みます。これは、それを制御する人々によってバックドアとして使用することができますが、現在、セキュリティサービスのマーケティング警告を表示します。お金を払うユーザーは、ポップアップを抑制するためにallowedDomainsに追加されます。 | 9.8 |
CVE 2025-11-08 03:00:11.993715 |
| CVE-2025-5998 | PPWP - Password Protect Pages WordPressプラグインバージョン1.9.11以前では、サイトのコンテンツをパスワード認証の後ろに置くことができますが、購読者以上のロールを持つユーザーは、REST APIを介してコンテンツを表示することができます。 | 6.5 |
CVE 2025-11-08 03:00:11.992842 |
| CVE-2025-8046 | 1.2.8 以前の Injection Guard WordPress プラグインでは、$_SERVER['REQUEST_URI'] パラメータをエスケープしてから属性に出力しないため、古いウェブブラウザで反射型クロスサイトスクリプティングにつながる可能性があります。 | 6.1 |
CVE 2025-11-08 03:00:11.992343 |
| CVE-2025-7808 | 1.5.4以前のWP Shopify WordPressプラグインは、ページ内にパラメータを出力する前にパラメータをサニタイズおよびエスケープしないため、管理者などの高権限ユーザーに対して使用される可能性のある反射型クロスサイトスクリプティングが発生します。 | 6.1 |
CVE 2025-11-08 03:00:11.991752 |
| CVE-2025-6790 | 10.2.3より前のQuiz and Survey Master (QSM) WordPressプラグインでは、設定を更新する際にCSRFチェックが行われていないため、攻撃者がCSRF攻撃によってログインした管理者に設定を変更させる可能性があります。 | 4.3 |
CVE 2025-11-08 03:00:11.990863 |
| CVE-2025-3414 | 構造化コンテンツ (JSON-LD) #wpsc WordPress プラグイン 1.7.0 より前のバージョンでは、ブロックが埋め込まれているページ/投稿に出力する前に、ブロックオプションの一部を検証およびエスケープしていないため、投稿者ロール以上のユーザが Stored Cross-Site Scripting 攻撃を行える可能性があります。 | 5.4 |
CVE 2025-11-08 03:00:11.990201 |
| CVE-2025-6184 | Tutor LMS Pro - eLearning and online course solution plugin for WordPress には、3.7.0 までのすべてのバージョンにおいて、get_submitted_assignments() 関数で使用される 'order' パラメータを経由した時間ベースの SQL インジェクションの脆弱性があります。 これにより、Tutorレベル以上のアクセス権を持つ認証済みの攻撃者が、データベースから機密情報を抽出するために使用可能な、追加のSQLクエリを既存のクエリに追加することが可能になります。Proバージョンのみが影響を受けます。 | 8.8 |
CVE 2025-11-08 03:00:11.989285 |
| CVE-2025-6715 | 5.1.94 以前の LatePoint WordPress プラグインには、layout パラメータを経由したローカルファイル インクルード (Local File Inclusion) の脆弱性があります。これにより、攻撃者はサーバ上の PHP ファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行を許してしまいます。 | 9.8 |
CVE 2025-11-08 03:00:11.988733 |
| CVE-2025-7384 | WordPress の Contact Form 7, WPforms, Elementor フォームプラグインのデータベースには、1.4.3 までのすべてのバージョンにおいて、get_lead_detail 関数内で信頼できない入力をデシリアライズすることによる PHP オブジェクトインジェクションの脆弱性があります。これにより、認証されていない攻撃者が PHP オブジェクトをインジェクションすることが可能となります。また、Contact Form 7 プラグインには POP チェーンが存在し、このプラグインと一緒に使われる可能性が高いため、攻撃者は任意のファイルを削除することができ、wp-config.php ファイルが削除されるとサービス拒否やリモートコード実行につながります。 | 9.8 |
CVE 2025-11-08 03:00:11.987864 |
| CVE-2025-8891 | WordPress用のOceanWPテーマには、バージョン4.0.9から4.1.1においてクロスサイトリクエストフォージェリの脆弱性があります。これは、oceanwp_notice_button_click()関数におけるnonceバリデーションの欠落または不正確さによるものです。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者を騙すことができる偽造リクエストを使用して、Ocean Extraプラグインをインストールすることが可能です。 | 4.3 |
CVE 2025-11-08 03:00:11.987217 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.