WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2025-6588 | WordPress用FunnelCockpitプラグインは、1.4.2までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'error'パラメーターを経由したReflected Cross-Site Scriptingの脆弱性があります。これにより、認証されていない攻撃者が、管理ユーザーを騙してリンクをクリックするなどのアクションを実行させることに成功した場合に、実行されるページに任意のウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-10-24 03:00:07.806654 |
| CVE-2025-6539 | WordPress 用の Voltax Video Player プラグインは、1.6.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のウェブスクリプトをページに注入することが可能になります。 | 6.4 |
CVE 2025-10-24 03:00:07.805635 |
| CVE-2025-6441 | ウェビナーソリューション：WebinarIgnition プラグインは、4.03.31 までのすべてのバージョンにおいて、 `webinarignition_sign_in_support_staff` と `webinarignition_register_support` 関数の機能チェックが欠落しているため、 認証されていないログイントークンを生成する脆弱性があります。これにより、認証されていない攻撃者が特定の状況下で任意のWordPressユーザーのログイントークンを生成し、認証バイパスにつながる認証クッキーを発行することが可能になります。 | 9.8 |
CVE 2025-10-24 03:00:07.804687 |
| CVE-2025-6387 | WordPress 用 WP Get The Table プラグインは、1.5 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'url' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.804080 |
| CVE-2025-6385 | WordPress 用 WP Applink プラグインは、0.4.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'title' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.803248 |
| CVE-2025-6382 | WordPress 用 Taeggie Feed プラグインは、0.1.10 までのすべてのバージョンにおいて、プラグインの taeggie-feed ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。このプラグインの render() メソッドは、ユーザから与えられた name 属性を受け取り、適切なエスケープを行わずに、id 属性と jQuery.getScript() 内の <script> タグに直接注入します。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のWebスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.802481 |
| CVE-2025-6380 | WordPress 用 ONLYOFFICE Docs プラグインは、バージョン 1.1.0 から 2.2.0 において、oo.callback REST エンドポイント内の認可が欠落しているため、特権昇格の脆弱性があります。プラグインのパーミッションコールバックは、提供された暗号化された添付ファイル ID が既存の添付ファイル投稿に対応しているかどうかを検証するだけで、要求者の身元や能力を検証しません。これにより、認証されていない攻撃者が任意のユーザとしてログインすることが可能になります。 | 9.8 |
CVE 2025-10-24 03:00:07.801454 |
| CVE-2025-6262 | WordPress 用の動画埋め込みプラグイン muse.ai には、0.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの muse-ai ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.800777 |
| CVE-2025-5084 | WordPress 用 Post Grid Master プラグインは、3.4.13 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'argsArray['read_more_text']' パラメータを経由した Reflected Cross-Site Scripting の脆弱性があります。このため、認証されていない攻撃者は、ユーザーを騙してリンクをクリックさせるなどのアクションを実行させることができれば、ページ内に任意のウェブ・スクリプトを注入して実行させることが可能です。 | 6.1 |
CVE 2025-10-24 03:00:07.799784 |
| CVE-2025-4608 | WordPress 用の Structured Content プラグインは、1.6.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの sc_fs_local_business ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.798809 |
| CVE-2025-3669 | WordPress用プラグインSupreme Addons for Beaver Builderは、1.0.9までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのauto_qrcodesabbショートコードを経由したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.797717 |
| CVE-2025-8009 | Security Ninja - WordPress Security Plugin & Firewall plugin for WordPress には、5.242 までのすべてのバージョンにおいて、'get_file_source' 関数を介した任意のファイル読み込みの脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上のあらゆるファイルの内容を含む機密データを抽出することが可能になります。 | 4.9 |
CVE 2025-10-24 03:00:07.797127 |
| CVE-2025-7852 | WordPress 用 WPBookit プラグインは、1.0.6 までのすべてのバージョンにおいて、'add_new_customer' ルートを経由してフックされる image_upload_handle() 関数にファイルタイプ検証の欠落があるため、任意のファイルをアップロードされる脆弱性があります。このプラグインの image-upload ハンドラは、許可される拡張子や MIME タイプを制限することなく、またファイル名をサニタイズすることなく、クライアントから提供されたファイルに対して move_uploaded_file() を呼び出します。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-24 03:00:07.796528 |
| CVE-2025-7437 | WordPress 用 Ebook Store プラグインは、5.8012 までのすべてのバージョンにおいて、 ebook_store_save_form 関数のファイルタイプ検証の欠落により、任意のファイルをアップロードされる脆弱性があります。これにより、認証されていない攻撃者が、影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能となり、リモートでコードを実行される可能性があります。 | 9.8 |
CVE 2025-10-24 03:00:07.795969 |
| CVE-2025-4968 | WPBakery Page Builder for WordPress プラグインは、8.4.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、複数のページビルダー要素（Copyright Element、Hover Box、Separator With Text、FAQ、Single Image、Custom Header、Button、Call To Action、Progress Bar、Pie Chart、Round Chart、Line Chart）を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 6.4 |
CVE 2025-10-24 03:00:07.795358 |
| CVE-2025-6174 | Qwizcards｜オンラインクイズとフラッシュカードのWordPressプラグイン3.9.4では、"_stylesheet "パラメータをページ内に出力する前にサニタイズとエスケープを行っていないため、Reflected Cross-Site Scriptingが発生し、管理者やその他のユーザーなどの高権限ユーザーに対して使用される可能性があります。 | 6.1 |
CVE 2025-10-24 03:00:07.794744 |
| CVE-2025-7722 | WordPress 用の Social Streams プラグインは、1.0.1 までのすべてのバージョンにおいて特権昇格の脆弱性があります。これは、update_user_meta() 関数でユーザのメタ情報を更新する前に、プラグインがユーザの身元を適切に検証しないためです。このため、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、ユーザタイプを管理者に変更することが可能です。 | 8.8 |
CVE 2025-10-24 03:00:07.793826 |
| CVE-2025-6261 | WordPress 用 Fleetwire Fleet Management プラグインは、1.0.19 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの fleetwire_list ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能となり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.793188 |
| CVE-2025-6215 | WordPress 用 Omnishop プラグインは、1.0.9 までのすべてのバージョンにおいて、Unauthenticated Registration Bypass の脆弱性があります。その /users/register エンドポイントは一般に公開されており (permission_callback は常に true を返します)、サイトの users_can_register オプションと nonce または CAPTCHA チェックを無視して wp_create_user() を無条件に呼び出します。このため、認証されていない攻撃者は、登録がクローズされるべきサイトで任意のユーザーアカウント（顧客）を作成することが可能です。 | 5.3 |
CVE 2025-10-24 03:00:07.792232 |
| CVE-2025-6214 | WordPress 用 Omnishop プラグインは、1.0.9 までのすべてのバージョンにおいて、 /users/delete REST ルートに Cross-Site Request Forgery の脆弱性があります。このルートの permission_callback は、要求者がログインしていることを検証するだけで、nonce やその他の意図の証明を要求しません。このため、認証されていない攻撃者は、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができる、偽造されたリクエストによって任意のユーザーアカウントを削除することが可能です。 | 6.5 |
CVE 2025-10-24 03:00:07.791529 |
| CVE-2025-6190 | WordPress 用の Realty Portal - Agent プラグインは、バージョン 0.1.0 から 0.3.9 までの rp_user_profile() AJAX ハンドラ内の認可が欠落しているため、特権昇格の脆弱性があります。このハンドラは、クライアントから提供された meta のキーと値のペアを $_POST から読み込み、安全なホワイトリストに制限することなく update_user_meta() に直接渡します。これにより、Subscriber レベル以上のアクセス権を持つ、認証された攻撃者が wp_capabilities メタを上書きし、自分自身に管理者ロールを付与することが可能になります。 | 8.8 |
CVE 2025-10-24 03:00:07.790913 |
| CVE-2025-6054 | WordPress 用 YANewsflash プラグインには、1.0.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'yanewsflash/yanewsflash.php' ページの nonce バリデーションが欠けているか、正しくないことが原因です。これにより、認証されていない攻撃者が設定を更新したり、リンクをクリックするなどのアクションをサイト管理者に実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-10-24 03:00:07.789597 |
| CVE-2025-5818 | WordPress 用の Featured Image Plus - Quick & Bulk Edit with Unsplash プラグインは、1.6.4 までのすべてのバージョンにおいて、fip_get_image_options() 関数を経由した Server-Side Request Forgery の脆弱性があります。これにより、管理者レベル以上のアクセス権を持つ認証された攻撃者が、ウェブアプリケーションを起点とした任意の場所へのウェブリクエストを行うことが可能となり、内部サービスからの情報の照会や変更に利用される可能性があります。 | 5.5 |
CVE 2025-10-24 03:00:07.788987 |
| CVE-2025-5753 | WordPress 用 Valuation Calculator プラグインは、入力のサニタイズと出力のエスケープが不十分なため、1.3.2 までのすべてのバージョンにおいて、'link' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.787884 |
| CVE-2025-8015 | WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress は、7.4.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、アップロードされた画像の 'Title' フィールドと 'Slide link' フィールドを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、Authorレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 6.4 |
CVE 2025-10-24 03:00:07.787267 |
| CVE-2025-7692 | WordPress用Orion Login with SMSプラグインは、1.0.5までのすべてのバージョンにおいて、認証バイパスの脆弱性があります。これは、olws_handle_verify_phone() 関数が十分な強度の OTP 値を利用しておらず、OTP 値を生成するために必要なハッシュが公開されており、コードを送信する試行回数に制限がないことが原因です。これにより、認証されていない攻撃者が電話番号にアクセスできれば、管理者を含む他のユーザーとしてログインすることが可能になってしまう。 | 8.1 |
CVE 2025-10-24 03:00:07.786650 |
| CVE-2025-7687 | WordPress 用の Latest Post Accordian Slider プラグインには、1.3 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'lpaccordian' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新し、リンクをクリックするなどのアクションを実行するようサイト管理者をだますことができるように付与された偽造リクエストを介して悪意のあるウェブスクリプトを注入することが可能になります。 | 6.1 |
CVE 2025-10-24 03:00:07.786031 |
| CVE-2025-7685 | WordPress 用の Like & Share My Site プラグインは、0.2 までのすべてのバージョンにおいて Cross-Site Request Forgery の脆弱性があります。これは、'lsms_admin' ページにおける nonce バリデーションの欠落または不正確さによるものです。これにより、認証されていない攻撃者が設定を更新したり、サイト管理者を騙してリンクをクリックするなどのアクションを実行させるために、偽造されたリクエストを経由して悪意のあるウェブスクリプトを注入したりすることが可能になります。 | 6.1 |
CVE 2025-10-24 03:00:07.785397 |
| CVE-2025-6213 | WordPress 用 Nginx Cache Purge Preload プラグインは、2.1.1 までの全てのバージョンにおいて、'nppp_preload_cache_on_update' 関数を経由したリモートコード実行の脆弱性があります。これは、'nppp_handle_fastcgi_cache_actions_admin_bar' 関数から渡される $_SERVER['HTTP_REFERER'] パラメータのサニタイズが不十分なためです。このため、管理者レベル以上のアクセス権を持つ認証済みの攻撃者が、サーバ上でコードを実行する可能性があります。 | 7.2 |
CVE 2025-10-24 03:00:07.784414 |
| CVE-2025-6187 | WordPress 用 bSecure プラグインは、バージョン 1.3.7 から 1.7.9 において、order_info REST エンドポイント内の認可が欠落しているため、特権昇格の脆弱性があります。このプラグインは /webhook/v2/order_info/ ルートに permission_callback を登録し、常に true を返します。このため、ユーザの電子メールを知っている認証されていない攻撃者が、有効なログイン・クッキーを取得し、そのアカウントに完全になりすますことが可能になります。 | 9.8 |
CVE 2025-10-24 03:00:07.783796 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.