WordPressに関連するセキュリティ情報をお知らせしてます
WordPressに関連するセキュリティ情報をお知らせしてます
見つかったセキュリティ上の問題は、日々修正されています。プラグインやテーマのこまめなアップデートが、セキュリティ対策として不可欠です。
アップデートなんて面倒、誰かに任せたいと思ったら "プリケアWP" のご利用を！
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
|---|---|---|---|
| ID | 説明 | CVSS v3 ベーススコア | 情報元 |
| CVE-2024-5259 | WordPress 用 MultiVendorX Marketplace - WooCommerce MultiVendor Marketplace Solution プラグインは、4.1.11 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'hover_animation' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.186208 |
| CVE-2024-5221 | WordPress 用 Qi Blocks プラグインは、1.2.9 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、プラグインのファイルアップローダーを経由した Stored Cross-Site Scripting の脆弱性があります。このため、Author レベル以上のアクセス権を持つ認証済みの攻撃者は、任意のウェブスクリプトをページに注入することが可能で、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 09:00:04.183623 |
| CVE-2024-5665 | WordPress 用の Login/Signup Popup ( Inline Form + Woocommerce ) プラグインは、バージョン 2.7.1 から 2.7.2 における 'export_settings' 関数の機能チェックの欠落により、データに不正アクセスされる脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイト上の任意のオプションを読み取ることが可能になります。 | 4.3 |
CVE 2024-09-14 03:00:05.737013 |
| CVE-2024-5615 | WordPress 用 Open Graph プラグインは、1.11.2 までのすべてのバージョンにおいて、'opengraph_default_description' 関数を経由した機密情報暴露の脆弱性があります。これにより、認証されていない攻撃者が、パスワードで保護されたブログ記事の部分的な内容を含む機密データを抽出することが可能になります。 | 5.3 |
CVE 2024-09-14 03:00:05.736231 |
| CVE-2024-5449 | WP Dark Mode - WordPress Dark Mode Plugin for Improved Accessibility, Dark Theme, Night Mode, and Social Sharing plugin for WordPress には、5.0.4 までのすべてのバージョンにおいて、wpdm_social_share_save_options 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ、認証された攻撃者がプラグインの設定を更新することが可能になります。 | 4.3 |
CVE 2024-09-14 03:00:05.735604 |
| CVE-2024-5162 | WordPress の prettyPhoto プラグインは、1.2.3 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'url' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.735001 |
| CVE-2024-5161 | WordPress 用 Magical Addons For Elementor ( Header Footer Builder, Free Elementor Widgets, Elementor Templates Library ) プラグインは、1.1.39 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'_id' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.734357 |
| CVE-2024-5153 | WordPress 用 Startklar Elementor Addons プラグインは、1.7.15 までのすべてのバージョンにおいて、'dropzone_hash' パラメータを介したディレクトリトラバーサルの脆弱性があります。これにより、認証されていない攻撃者が、機密情報を含む可能性のあるサーバー上の任意のファイルの内容をコピーしたり、WordPress のルートディレクトリを含む任意のディレクトリを削除したりすることが可能になります。 | 9.8 |
CVE 2024-09-14 03:00:05.733712 |
| CVE-2024-5152 | WordPress 用 Elementor プラグイン ElementsReady Addons には、入力のサニタイズと出力のエスケープが不十分なため、6.1.0 までのすべてのバージョンにおいて、'_id' パラメータを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビューターレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.733046 |
| CVE-2024-5141 | WordPress 用 Rotating Tweets (Twitter ウィジェットおよびショートコード) プラグインは、1.9.10 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズおよび出力のエスケープが不十分なため、プラグインの 'rotatingtweets' を介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.732225 |
| CVE-2024-4707 | WordPress 用 Materialis Companion プラグインは、1.3.41 までのすべてのバージョンにおいて、入力のサニタイズとユーザーから提供された属性の出力エスケープが不十分なため、プラグインの materialis_contact_form ショートコードを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.731392 |
| CVE-2024-4608 | SellKit - Funnel builder and checkout optimizer for WooCommerce to sell more, faster plugin for WordPress は、1.9.8までの全てのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、'id' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.730534 |
| CVE-2024-4459 | WordPress 用 Themesflat Addons For Elementor プラグインは、2.1.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのウィジェットのタイトルを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.729619 |
| CVE-2024-4458 | WordPress 用 Themesflat Addons For Elementor プラグインは、2.1.1 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、URL パラメータを介したいくつかのウィジェットに Stored Cross-Site Scripting の脆弱性があります。これにより、コントリビュータ以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.728626 |
| CVE-2024-4364 | WordPress 用 Qi Addons For Elementor プラグインは、1.7.2 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインのボタンウィジェットを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.727819 |
| CVE-2024-4212 | Themesflat Addons For Elementor plugin for WordPress は、2.1.1 までのすべてのバージョンにおいて、プラグインの TF Group Image、TF Nav Menu、TF Posts、TF Woo Product Grid、TF Accordion、および TF Image Box ウィジェットを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.727033 |
| CVE-2024-2922 | WordPress 用 Themesflat Addons For Elementor プラグインは、2.1.1 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、ウィジェットタグを介した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-14 03:00:05.725892 |
| CVE-2024-1175 | WordPress 用プラグイン WP-Recall - Registration, Profile, Commerce & More は、16.26.6 までのすべてのバージョンにおいて、'delete_payment' 関数の機能チェックが欠落しているため、不正なデータ損失の脆弱性があります。これにより、認証されていない攻撃者が任意の支払いを削除することが可能になります。 | 5.3 |
CVE 2024-09-14 03:00:05.724808 |
| CVE-2024-0972 | WordPress 用 BuddyPress Members Only プラグインは、3.3.5 までのすべてのバージョンにおいて、REST API を経由した Sensitive Information Exposure の脆弱性があります。これにより、認証されていない攻撃者がプラグインの「あなたのサイトの他のすべてのセクションをゲストに公開する」機能（未設定の場合）をバイパスし、制限されたページや投稿のコンテンツを閲覧することが可能になります。 | 5.3 |
CVE 2024-09-14 03:00:05.723603 |
| CVE-2024-2017 | WordPress 用の Countdown, Coming Soon, Maintenance - Countdown & Clock プラグインは、2.7.8 までのすべてのバージョンにおいて、conditionsRow および switchCountdown 関数の機能チェックが欠落しているため、不正アクセスの可能性があります。このため、サブスクライバーレベル以上のアクセス権を持つ認証済みの攻撃者が PHP オブジェクトを注入し、カウントダウンのステータスを変更することが可能です。 | 5.4 |
CVE 2024-09-14 03:00:05.720323 |
| CVE-2024-5342 | WordPress 用 Simple Image Popup Shortcode プラグインは、1.0 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの 'sips_popup' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-13 23:00:05.383135 |
| CVE-2024-5324 | WordPress 用の Login/Signup Popup ( Inline Form + Woocommerce ) プラグインは、バージョン 2.7.1 から 2.7.2 における 'import_settings' 関数の機能チェックの欠落により、データを不正に変更される脆弱性があります。これにより、Subscriber レベル以上のアクセス権を持つ認証済みの攻撃者が、影響を受けるサイト上の任意のオプションを変更することが可能になります。これは、新規ユーザ登録を有効にし、新規ユーザのデフォルトのロールを管理者に設定するために使用できます。 | 8.8 |
CVE 2024-09-13 23:00:05.382532 |
| CVE-2024-5224 | WordPress 用の Easy Social Like Box - Popup - Sidebar Widget プラグインは、4.0 までのすべてのバージョンにおいて、入力のサニタイズとユーザが提供した属性の出力エスケープが不十分であるため、プラグインの 'cardoza_facebook_like_box' ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-13 23:00:05.381940 |
| CVE-2024-5179 | WordPress 用 Cowidgets - Elementor Addons プラグインは、1.1.1 までのすべてのバージョンにおいて、'item_style' および 'style' パラメータを介したローカルファイル組み込みの脆弱性があります。このため、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者は、サーバ上の任意のファイルをインクルードして実行することが可能となり、それらのファイル内の任意の PHP コードの実行を許してしまいます。これは、画像やその他の「安全な」ファイルタイプをアップロードしてインクルードできる場合に、アクセス制御を回避したり、機密データを取得したり、コードを実行したりするために使用できます。 | 8.8 |
CVE 2024-09-13 23:00:05.381281 |
| CVE-2024-5001 | WordPress 用 Elementor Lightbox and Flipbox プラグインの Image Hover Effects for Elementor には、入力のサニタイズと出力のエスケープが不十分なため、3.0.2 までのすべてのバージョンにおいて、'_id'、'oxi_addons_f_title_tag'、'content_description_tag' パラメータを介した Stored Cross-Site Scripting の脆弱性があります。これにより、Contributor レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されるようになります。 | 5.4 |
CVE 2024-09-13 23:00:05.380655 |
| CVE-2024-4942 | WordPress 用 Custom Dash プラグインは、1.0.2 までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、管理者設定を経由した Stored Cross-Site Scripting の脆弱性があります。これにより、管理者レベル以上の権限を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。この問題は、マルチサイトのインストールおよび unfiltered_html が無効になっているインストールにのみ影響します。 | 4.8 |
CVE 2024-09-13 23:00:05.380001 |
| CVE-2024-4788 | Boostify Header Footer Builder for Elementor plugin for WordPress は、1.3.3 までのすべてのバージョンにおいて、 create_bhf_post 関数の機能チェックが欠落しているため、データを不正に変更される脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済みの攻撃者が、任意のコンテンツを含むページや投稿を作成することが可能になります。 | 4.3 |
CVE 2024-09-13 23:00:05.379387 |
| CVE-2024-4705 | WordPress 用 Testimonials Widget プラグインは、4.0.4 までのすべてのバージョンにおいて、ユーザが提供した属性に対する入力のサニタイズと出力のエスケープが不十分なため、プラグインの testimonials ショートコードを経由した Stored Cross-Site Scripting の脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ認証済みの攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-13 23:00:05.378791 |
| CVE-2024-4194 | WordPress 用の The Album and Image Gallery plus Lightbox プラグインは、2.0 までのすべてのバージョンにおいて、任意のショートコードを実行される脆弱性があります。これは、do_shortcode を実行する前に値を適切に検証しないアクションを実行することをソフトウェアが許可しているためです。これにより、認証されていない攻撃者が任意のショートコードを実行することが可能になります。 | 6.5 |
CVE 2024-09-13 23:00:05.378183 |
| CVE-2024-2350 | WordPress用Clever Addons for Elementorプラグインは、2.1.9までのすべてのバージョンにおいて、入力のサニタイズと出力のエスケープが不十分なため、CAFE Icon、CAFE Team Member、およびCAFE Sliderウィジェットを介したStored Cross-Site Scriptingの脆弱性があります。これにより、投稿者レベル以上のアクセス権を持つ、認証された攻撃者が、任意のウェブスクリプトをページに注入することが可能になり、ユーザーが注入されたページにアクセスするたびに実行されます。 | 5.4 |
CVE 2024-09-13 23:00:05.377546 |
セキュリティ情報は https://nvd.nist.gov/ の情報を元に提供しております。
Copyright © 2022 frame and surface.