WordPress 脆弱性一覧– archive –

[AI生成] 購読者などの低い権限でログインできる人が、テーマやプラグインの設定に保存されたパスワードやAPIキーなどの機密情報を閲覧できてしまいます。Redux Frameworkを使う全サイトが対象です。

[AI生成] ログインしていない第三者が予約フォームから細工した顧客情報を登録できます。管理者がその顧客情報を保存すると、管理者アカウントのメールアドレスが書き換えられ、アカウントを乗っ取られるおそれがあります。

[AI生成] バージョン6.2以前では、問い合わせフォーム等から送られたメール件名に仕込まれた不正なスクリプトが保存され、該当画面を開いた利用者のブラウザで実行される恐れがあります。ログイン不要で悪用でき、プラグイン有効化直後の未認証設定の状態が狙われます。

[AI生成] WP2LEADS 3.5.6以前には、購読者以上の権限でログインした利用者がデータベースへ不正な命令を送れる脆弱性があります。会員情報やパスワードのハッシュなど、データベース内の機密情報が盗まれるおそれがあります。

[AI生成] SEOPress 10.3以前では、ログインした購読者権限以上のユーザーが表示名に不正なスクリプトを仕込める恐れがあります。そのページを閲覧した人のブラウザでスクリプトが実行される可能性があります。

[AI生成] Shield Security 22.3.2以前では、ログインしていない第三者が仕込んだ不正なスクリプトがアクセス記録に保存されます。管理者がその記録を表示すると、ブラウザ上でスクリプトが実行される恐れがあります。

[AI生成] Perfect Images 7.2.0以前では、ファイル置き換え機能で権限の確認が不足しています。投稿者以上の権限を持つユーザーが、他人がアップロードした画像などのファイルを勝手に置き換えられるおそれがあります。

[AI生成] 2.2.0以前では、購読者などの低い権限のユーザーが保存済みメールログを閲覧できる設定の場合、管理者のパスワード再設定情報を読み取られる恐れがあります。その結果、サイトの管理者権限を奪われる可能性があります。

[AI生成] FunnelKit Automations 3.8.5.2以前に、ログイン不要で悪用できるSQLインジェクションの脆弱性があります。悪用されると、顧客情報などデータベース内の重要な情報が盗まれるおそれがあります。

[AI生成] Discussion Board 2.6.0以前では、ログインした購読者以上のユーザーがプロフィールのWebサイト欄に不正なスクリプトを仕込めます。そのユーザーの返信を含むトピックを閲覧すると、閲覧者のブラウザでスクリプトが実行されます。