WordPress 脆弱性一覧– archive –

[AI生成] ログインしていない第三者が、このプラグインのエラーログに不正なスクリプトを書き込める恐れがあります。管理者がログ画面を開くと、そのスクリプトが管理者の権限で動作し、サイトを乗っ取られる可能性があります。

[AI生成] WP Directory Kit 1.6.0以前に、ログインしていない第三者がデータベースへ不正な命令を送れる欠陥があります。会員情報やパスワードの暗号化データなど、サイト内の重要な情報が盗まれるおそれがあります。

[AI生成] 購読者権限以上でログインできる利用者が、掲載情報の画像項目に不正なスクリプトを埋め込める脆弱性です。管理者や編集者が承認待ちの掲載情報の編集画面を開くと、そのブラウザでスクリプトが実行されます。

[AI生成] BuddyBoss Platform 3.6.0以前では、グループ名に不正なスクリプトを仕込まれる恐れがあります。そのグループを表示した利用者のブラウザでスクリプトが動き、なりすましや偽画面表示などにつながる可能性があります。

[AI生成] All in One SEO 5.0.3以前では、ログインしていない第三者が、サイト内の非公開のカスタムフィールド（APIキーや内部メモなど）を読み取れる恐れがあります。読み取られた情報は、サイトの検索結果ページのタイトルや構造化データに表示されてしまいます。

[AI生成] Ameliaプラグイン2.4.12以前では、ログインしていない第三者がスタッフの氏名・メールアドレス・電話番号などの個人情報を取得できる可能性があります。公開中のイベントに管理者が書いた内部メモも外部から見える状態になる恐れがあります。

[AI生成] SimpleForm 3.10.2以前では、ログインしていない第三者が危険なファイルをサイトに送り込めます。そのファイルが実行されると、サイトが乗っ取られるおそれがあります。

[AI生成] Smart Post 4.0.9以前に、購読者以上の権限を持つユーザーが不正なスクリプトを埋め込める脆弱性があります。埋め込まれたスクリプトは、該当ページで閲覧者が投稿者フィルターを操作した際に実行されるおそれがあります。

[AI生成] Newsletters 4.18.1以前に、データベースへ不正な命令を混入できる脆弱性があります。購読者登録をするだけで悪用条件を満たせるため、会員情報などデータベース内の機密情報が盗まれる恐れがあります。

[AI生成] 購読している外部フィードの内容を取り込む際、危険なスクリプトが除去されずにそのまま記事として保存されてしまいます。その結果、取り込まれたページを閲覧した利用者や管理者のブラウザで不正なスクリプトが実行されるおそれがあります。