WordPress 脆弱性一覧– archive –

[AI生成] マルチサイト環境で新規登録ユーザーが有効化した際の画面がキャッシュとして公開保存され、ユーザー名とパスワードが第三者に見られる恐れがあります。ログイン不要で悪用される可能性があります。

[AI生成] s2Member 260927以前のバージョンに、外部から任意のプログラムを実行される恐れのある脆弱性があります。ログイン不要で悪用でき、サイトが乗っ取られる危険性が非常に高い（深刻度：緊急）とされています。

[AI生成] ログインしていない第三者が、サーバー上の任意のファイルを削除できる恐れがあります。wp-config.php などの重要ファイルが削除されると、サイト乗っ取りにつながる可能性があります。

[AI生成] Web 2.0 Directory 2.10.12以前では、絞り込み用のパラメータを通じてデータベースへ不正な命令を送り込まれる恐れがあります。その結果、会員情報などデータベース内の重要な情報が盗み見られる可能性があります。

[AI生成] 購読者などの低い権限でログインできる利用者が、商品の説明欄に不正なスクリプトを埋め込める状態です。その商品ページを閲覧した管理者や訪問者のブラウザで、スクリプトが実行されるおそれがあります。

[AI生成] Ninja Forms 3.15.5以前では、URLに含まれた値が十分に無害化されず、フォームのあるページ上で不正なスクリプトが実行されるおそれがあります。攻撃者が用意したリンクを利用者がクリックした場合に影響を受けます。

[AI生成] NextGEN Gallery 4.4.1以前では、ギャラリーを管理できるログインユーザーがサーバー上で任意のプログラムを実行できるおそれがあります。悪用されるとサイトの改ざんや情報の盗難、サーバーの乗っ取りにつながります。

[AI生成] 有効化前の顧客アカウントの認証用リンクが使い回せる不備により、他人のゲスト注文が攻撃者のアカウントに紐づけられる恐れがあります。その結果、購入者の氏名・住所・電話番号・購入商品が第三者に見られる可能性があります。

[AI生成] 細工されたリンクを開くと、商品ページ上で攻撃者の用意したスクリプトが閲覧者のブラウザで実行される恐れがあります。ログイン不要で狙えますが、日付・時刻範囲の入力欄を設定した商品ページに限られます。

[AI生成] ログインしていない第三者が、このプラグインのエラーログに不正なスクリプトを書き込める恐れがあります。管理者がログ画面を開くと、そのスクリプトが管理者の権限で動作し、サイトを乗っ取られる可能性があります。