WordPress 脆弱性一覧– archive –

[AI生成] WP Job Portal 2.7.0以前では、ログイン利用者が学位名の欄に不正なスクリプトを保存できます。そのページを開いた閲覧者や管理者のブラウザで実行されるおそれがあります。

[AI生成] Hustleを使うサイトで、権限の一部を与えられたログインユーザーが、メール配信サービスとの連携設定を勝手に書き換えられる恐れがあります。その結果、フォームで集めた顧客情報が第三者に送られる可能性があります。

[AI生成] 注文時の氏名・会社名・注文メモ欄に、ログイン不要で悪意のあるスクリプトを仕込まれるおそれがあります。管理者などがその注文情報を表示すると、スクリプトが実行され乗っ取り等につながる可能性があります。

[AI生成] 5.16.5以前では、条件が揃うと未ログインの第三者に他の顧客の請求書PDFが送られる恐れがあります。氏名・住所・注文内容・金額・注文メモなどの個人情報が漏えいする可能性があります。

[AI生成] WP Booking System 2.1.0.5以前では、権限確認の不備により購読者などの低権限ユーザーが任意のカレンダーのメモを削除できます。予約管理に使うメモ情報が失われるおそれがあります。

[AI生成] ログイン不要の攻撃者が細工したリンクを用意し、閲覧者がそれをクリックすると、サイト上で不正なスクリプトが実行される恐れがあります。管理者が踏んだ場合、管理権限を悪用した改ざん等につながる可能性があります。

[AI生成] バージョン3.4.6以前では、ログインしていない第三者が下書き・予約・レビュー待ちなど非公開の商品情報を閲覧できる恐れがあります。また全商品を一度に読み込ませてサーバーに負荷をかけられる可能性もあります。

[AI生成] バージョン1.2.31以前では、未ログインの第三者がレビュー投稿を悪用し、メディアライブラリ内の任意の画像やファイルを削除させることができます。削除は管理者がそのレビューを削除した時やゴミ箱の自動削除時に発生します。

[AI生成] Webmention 5.10.1以前では、外部サイトから届いたWebmention（言及通知）に含まれる不正なスクリプトが、コメントとして無害化されずに保存されるおそれがあります。管理者がそのコメントを承認すると、ページを閲覧した人のブラウザでスクリプトが実行される可能性があります。

[AI生成] W3 Total Cache 2.10.7以前では、ログインしていない第三者がコメント欄経由で不正なスクリプトをページに埋め込める恐れがあります。そのページを閲覧した訪問者や管理者のブラウザでスクリプトが実行される可能性があります。