お知らせNEWS&TOPICS

 

⚠️ WordPressをご利用のお客様へ
セキュリティに関する重要なお知らせ

こんにちは、アートフレア株式会社です。

WordPressのプラグインやテーマに、複数のセキュリティ上の脆弱性が発見されました。ウェブサイトを安全に保つため、以下の情報を確認し、早急な対応を推奨いたします。

脆弱性の中には、権限のない人でも攻撃できる「⚠️危険度が高いもの」が含まれています。また、一部はサイトの重要なファイルを盗み見られたり、勝手にウェブサイトに悪意のあるプログラムを埋め込まれたりするリスクがあります。

脆弱性報告：WordPress本体

---

【重要】WordPress 6.9.4 への至急アップデートのお願い

WordPressの安全性を高めるための最新版「6.9.4」がリリースされました。今回のアップデートには、Webサイトの情報を守るための重要な修正が含まれています。

今回修正された主な問題（脆弱性）

放置すると、悪意のある第三者によって以下のような操作をされる恐れがあります。

• 情報の漏えい： 公開していない投稿タイトルや、サーバー内の別ファイルの中身を勝手に見られる。

• 不正な操作： 権限がないのにメモを作成されたり、特定の条件下で不正なプログラム（スクリプト）を実行されたりする。

• 内部への攻撃： 認証を受けていない状態での内部リクエスト送信。

アップデートが必要な理由

現在、短期間で立て続けに以下の更新が行われています。

1. 6.9.2 リリース

2. 6.9.3 リリース（6.9.2の不具合修正）

3. 6.9.4 リリース（今回の最新版）

わずか2日の間に連続して更新されているため、「昨日アップデートしたから大丈夫」と思っていても、まだ 6.9.2 や 6.9.3 で止まっている可能性があります。

【アクション】

管理画面から現在のバージョンを確認し、まだの方は速やかに 6.9.4 へのアップデートを完了させてください。

---

2025年10月14日時点で、以下のバージョンのWordPress本体に脆弱性が確認されています。現在ご利用中のバージョンをご確認ください。

• 4.7から6.8.2までの全てのバージョン
  

  権限を悪用した情報漏洩の危険性・ウェブサイトの寄稿者（Contributor）など、一定以上の権限を持つユーザーが、システム側の不備を利用して、本来見るべきではない非公開の投稿や記事の内容を不正に入手できてしまう可能性があります。

  ※信頼できるユーザーによる情報漏洩につながるため、早急な修正が必要です。

• 4.7までの全てのバージョン
  4.7から6.8.2までの全てのバージョン
  

  投稿者以上の権限を持つユーザーによる不正なコードの埋め込み（XSS）の危険性・ウェブサイトで投稿者（Contributor）や編集者などの権限を持っているユーザー（または、それらのアカウントを乗っ取った攻撃者）が、システムを悪用して任意の悪質なプログラムをウェブページに書き込んでしまう可能性があります。

  ※訪問者がそのページを見ると、埋め込まれたプログラムが実行され、情報の抜き取りやセッションの乗っ取りなどの被害につながる危険性があります。

• 6.8.2までの全てのバージョン
  WordPressにおいて、寄稿者以上の権限を持つ認証済みユーザーが、本来アクセスできない機密性の高いユーザーデータや設定データを抽出できる脆弱性が見つかりました。ただし、リスクは低いと評価されており、WordPressチームが修正を急いでいます。

• 6.8.2までの全てのバージョン 
  格納型クロスサイト・スクリプティング（Stored XSS）に関する脆弱性の報告です。
  投稿者以上の権限を持つ認証済みユーザーが悪意あるウェブスクリプトをページに挿入できてしまいます。このスクリプトはページに保存されるため、そのページを閲覧した全てのユーザーのブラウザで実行されてしまいます。
  現在、第三者による早期の情報開示があったため、パッチはまだ提供されていませんが、WordPressセキュリティチームはリスクを低いと評価し、修正を急いでいます。

2025/9/30 WordPress本体に上記2件の脆弱性が発見されました。これらは通常とは異なり、修正パッチ（6.8.3で提供予定）が出る前に情報が公開されています。

補足：脆弱性公開の経緯
通常、パッチ提供前に脆弱性が公開されると攻撃リスクが高まるため、発見者は提供元（今回はWordPressコアチーム）と公開時期を調整します。今回は何らかの理由で情報が先行公開されましたが、リスクが低いと判断されたため、情報は取り消されずに修正作業が続けられています。

脆弱性報告：プラグインとテーマ

以下のプラグインやテーマに脆弱性が確認されています。現在ご利用中のバージョンをご確認ください。

• ⚠️WP Statistics (バージョン 14.15.4までの全てのバージョン)

  ウェブサイトに不正なコードが埋め込まれる脆弱性（Stored XSS）ユーザーのブラウザ情報（User-Agentヘッダー）の処理に問題があり、攻撃者が悪意のあるスクリプトをウェブページに恒久的に保存できてしまいます。そのページを見た全ユーザーに対して、攻撃者が仕込んだスクリプトが実行されてしまうため、情報の窃取やセッションの乗っ取りなどにつながる危険性があります。

• Blocksy (テーマ、バージョン 2.1.6まで)
  ショップマネージャー以上の権限を持つユーザーが、ウェブサイトに悪意のあるスクリプトを挿入できる可能性があります。

• ⚠️AI Engine ( 3.3.2までの全てのバージョン )
  

  ファイル形式の検証不備による任意ファイルアップロードの脆弱性が存在します。 編集者以上の権限を持つ攻撃者が、画像を PHP ファイルへリネームする手法を用いることで、サーバー上での任意コード実行（RCE）を許す恐れがあります。 

• AI Engine ( 3.1.8までの全てのバージョン )
  

  編集者以上の権限を持つユーザーが、Webアプリケーションを通じて内部サーバーへ不正なリクエストを送信できる脆弱性があります。
  これにより、サーバー内部の機密情報（Cloudメタデータなど）を照会・変更される危険があるため、至急、最新版へアップデートしてください。

• ⚠️AI Engine ( 3.1.8までの全てのバージョン )
  

  v3.1.8以下に、PHPオブジェクトインジェクションの脆弱性があります。
  購読者以上の認証済みユーザーによる攻撃で、サイトに不正なデータが挿入される可能性があります。
  【重要】この脆弱性は、他のプラグインやテーマと組み合わされた場合に限り、機密情報取得やファイルの削除につながる危険な「ゲートウェイ」となるため、至急アップデートが必要です。

• AI Engine ( 3.1.3までの全てのバージョン )
  認証されていない攻撃者が、サイトの認証情報である「Bearer Token」を盗み出すことを可能にします。
  攻撃者はこのトークンを使用することで、有効なセッションに不正にアクセスできます。結果として、新しい管理者アカウントの作成など、多くの特権的な操作を実行できるようになり、権限昇格につながる極めて深刻な影響があります。

• Paid Membership Plugin (バージョン 4.16.4まで)
  権限のないユーザーでも、悪意のあるプログラムを実行できる可能性があります。特に危険度が高い脆弱性です。

• GiveWP ( 4.13.1までの全てのバージョン )
  

  この脆弱性は、いわゆるCSRF（クロスサイト・リクエスト・フォージェリ）であり、攻撃者が仕込んだリンクを管理者が踏むことで、意図せずサイトの設定変更などの不正操作をさせられてしまうというものです。

  管理者の強力な権限がそのまま悪用されるため、気づかないうちにアカウントの削除や不正なユーザーの追加などが行われる危険があります。

• GiveWP ( 4.13.0までの全てのバージョン )
  

  v4.13.0以下に、ページに不正なコードを埋め込まれるXSS脆弱性が見つかりました。
  Avatar機能が有効なWordPress環境では、認証なしで攻撃される危険があります。至急、最新版にアップデートしてください。

• GiveWP ( 4.10.0までの全てのバージョン )
  

  誰でも寄付フォームとキャンペーンの紐付けを勝手に変更できる危険性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、どの寄付フォームがどのキャンペーンに属するかという設定を、不正に書き換えてしまうことができます。
  これにより、寄付金の集計ミスや、キャンペーンデータの混乱が発生し、サイト運営に深刻な影響が出る可能性があります。

• GiveWP ( 4.10.0までの全てのバージョン )
  

  誰でも非公開の寄付関連データを盗み見できる脆弱性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、公開前の寄付フォームの内容や、過去のキャンペーンのアーカイブ情報を勝手に抜き取れてしまいます。
  緊急対応が必要です。非公開情報が漏洩することで、寄付者や事業計画に関する機密情報が流出する可能性があります。

• GiveWP （ 4.6.0までの全てのバージョン ）

  認証していない攻撃者が、ドナー（寄付者）の氏名やメールアドレス、IDを抜き出せる脆弱性があります。
  機密性の高い個人情報漏洩のリスクがあるため、信頼性維持のためにも至急、最新版へアップデートしてください。

• GiveWP （ 4.6.0までの全てのバージョン ）

  誰でも寄付者の個人情報を盗み見できる脆弱性・サイトのログインをしていない人（外部の攻撃者）でも、システムの欠陥を利用して、寄付者の名前、メールアドレス、IDといった重要な個人情報を不正に入手できてしまう状態です。

  この脆弱性は CVE-2025-47444 として既に知られているため、早急な対応が求められます。個人情報の漏洩は、寄付者からの信頼を大きく損ない、法的な問題にも発展する可能性があります。

• GiveWP (バージョン 4.5.0まで)
  特定の権限を持つユーザーが、寄付のステータスを不正に変更できる可能性があります。

• Advanced Custom Fields (ACF®)（ 6.4.2までの全てのバージョン ）
  管理者以上の権限を持つユーザーで認証済の場合に、悪意のあるHTMLを注入することが可能となる。

• Advanced Custom Fields (ACF®)（  3.5.1までの全てのバージョン ）
  export.phpスクリプトを介したリモートファイルインクルードおよびリモートコード実行が可能となる。この攻撃は、PHPオプション allow_url_include がOnに設定されている場合にのみ有効。 (デフォルトはOff)

• All-in-One WP Migration and Backup（ 7.97までの全てのバージョン ）
  管理者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。これはマルチサイト環境、および、unfilterd_htmlが無効化されている環境でのみ発生する。

• Beaver Builder（ 2.9.2.1までの全てのバージョン ）
  認証されていない攻撃者が、サイト管理者を騙してリンクをクリックするといったアクションを実行させることで、実行される任意のウェブスクリプトをページに挿入できる。 

• OceanWP（ 4.1.1までの全てのバージョン ）
  

  一般ユーザーによる設定変更の危険性・一般の購読者（Subscriber）などの低い権限のユーザーでも、システムの不備を利用して、本来管理者しか変更できないはずの「darkMod（ダークモード）」の設定を更新できてしまいます。

  現時点では影響は限定的かもしれませんが、他の重要な設定も同様に低い権限で変更できる可能性があるため、アクセス制御の緊急のチェックが必要です。

• WP Crontrol（ 1.17.0から1.19.1までの全てのバージョン ）
  管理者以上の権限を持つユーザーで認証済の場合に、Webアプリケーションから発信する任意の場所へのWebリクエストを実行できるようになり、内部サービスからの情報の照会や変更に悪用できる。 

• ⚠️Ninja Forms（ 3.13.2までの全てのバージョン ）
  

  この脆弱性は、トークン更新時の権限チェックが漏れているため、誰でも認証なしでトークンを発行し、フォームの送信内容を盗み見ることができてしまうものです。

  機密情報を含むフォームの回答データが外部に漏洩する危険性が非常に高いため、早急な対策が必要です。

• ⚠️Ninja Forms（ 3.13.2までの全てのバージョン ）
  未認証の攻撃者が、漏洩したベアラートークンを悪用することで、全フォームの設定内容や送信された個人情報（投稿データ）を不正に取得できる可能性があります。

• Ninja Forms（ 3.12.0までの全てのバージョン ）
  

  管理者アカウントを悪用した不正な設定変更の危険性・外部の攻撃者が、サイト管理者をだまして悪質なリンク（罠）をクリックさせると、管理者が意図しないまま、設定変更が強制的に実行されてしまいます。

  今回は、その結果としてサイトが不正な統計情報収集のシステムに組み込まれてしまうという被害が確認されています。

• Ninja Forms（ 3.12.0までの全てのバージョン ）
  

  管理者による意図しない重要ファイルの削除の危険性・外部の攻撃者が、サイト管理者をだまして悪質なリンク（罠）をクリックさせると、管理者が気づかないうちに、システムの重要なファイルが勝手に削除されてしまいます。

  これは、ウェブサイトの破壊や停止につながる、極めて重大な脆弱性です。

• ⚠️Import any XML, CSV or Excel File to WordPress（ 3.9.6 までの全てのバージョン ）
  

  v3.9.6以下に、サーバー上で不正なコードを実行される危険な脆弱性が見つかりました。
  インポート機能経由で攻撃されるリスクがあるため（要管理者権限）、至急最新版へアップデートしてください。

• ⚠️Import any XML, CSV or Excel File to WordPress（ 3.9.3までの全てのバージョン ）
  

  PHPプラグインのバージョン3.9.3以前に、ファイルアップロードの脆弱性が発見されました。これは、ファイルの種類のチェックが不十分なためです。
  攻撃者が管理者権限を持つユーザーとしてログインした場合、危険な .phar ファイルなどをサーバーにアップロードできるようになります。これにより、攻撃者がサーバー上で任意のコードを実行するという深刻な被害が発生する可能性があります

• Fluent Forms（  5.1.16から6.1.1までの全てのバージョン ）
  

  この脆弱性は、AIビルダーの利用制限が不十分なため、購読者という低い権限であっても、本来管理者のみができるはずのフォーム作成を自由に行えてしまうというものです。

  悪意のあるフォームを作成してフィッシング詐欺に利用されたり、サイトのリソースを不正に消費されたりするリスクがあります。

• Fluent Forms（  5.1.16から6.1.1までの全てのバージョン ）
  

  ユーザー権限が「購読者」以上の人がログインしている場合、PHPオブジェクトを挿入できるという脆弱性があります。
  この脆弱性は、他のシステムと組み合わせると、攻撃者が任意のファイルを読み取ることができるようになります。もしサーバーのallow_url_include設定が有効になっている場合は、遠隔で不正なコードを実行される危険性もあります。

• ⚠️The Events Calendar（ 6.15.1.1から6.15.9までの全てのバージョン ）
  

  ブラインドSQLインジェクションの脆弱性が存在します。
  この原因は、ユーザーから提供されるパラメーター（特に's'パラメーター）に対するセキュリティ処理（エスケープ処理や事前処理）が不十分であるためです。
  その結果、ログインしていない攻撃者でも、既存のSQLクエリに不正な追加のクエリを挿入することが可能となり、データベースから機密情報を盗み出すために悪用される危険性があります。

• The Events Calendar（ 6.15.9までの全てのバージョン ）
  

  購読者以上の権限でログインしているユーザーは、以下の操作を実行できます。

  • イベント名の下書き（ドラフト） の内容を確認・表示する。

  • その下書きイベントに対応するQRコードを生成し、表示する。

• The Events Calendar（ 6.15.9までの全てのバージョン ）
  

  認証されていない攻撃者が、「Yes, automatically share my system information with The Events Calendar support team」の設定が有効になっている場合に、システム全体の詳細なレポートを不正に取得できる脆弱性が存在します。

  これは、ブール値（True/False） を送信するだけで、本来保護されているはずの完全なシステムレポートを入手できるためです。

• The Events Calendar（6.15.2までの全てのバージョン）
  認証されていない攻撃者が、パスワードで保護されているベンダーや会場の情報を抜き取ることが可能になります。

• Tutor LMS（ 3.9.3までの全てのバージョン ）
  

  この脆弱性は、注文IDの確認が不十分なため、購読者権限があれば他人の注文番号を推測して、氏名や住所などの個人情報を一括で盗み出せるというものです。

  低い権限でも機密性の高い個人識別情報（PII）にアクセスできてしまうため、顧客のプライバシー保護の観点から非常に深刻なリスクがあります。

• Tutor LMS（ 3.8.3までの全てのバージョン ）
  最高権限を持つユーザーが、本来アクセス権のない他のコースの機密情報（課題など）を不正に閲覧できてしまいます。
  

  この事態が意味する主な危険性は以下の通りです。

  1. 機密情報の漏洩：他の教員が作成した未公開の課題やテスト問題が、担当外のユーザーに見られてしまう可能性があります。

  2. 不正行為のリスク：学生が事前に課題の内容を知ることができれば、公正な評価が不可能になります。

  3. 権限設定の不備：システム上で「Tutor以上の権限」が過剰なアクセス権を持っていることを示しています。これはシステムのセキュリティ設計上の根本的な問題です。

• Tutor LMS（ 3.8.3までの全てのバージョン ）
  認証されていない攻撃者が、偽の通知（ウェブフック）を送り付けるだけで、 実際には支払いが行われていない注文を「支払い済み」と誤認させ、 無料で商品やサービスを入手できてしまいます。
  

  この脆弱性は、システムの「信頼」を悪用した深刻な問題です。

  • 支払い検証の完全な迂回：システムが外部からのウェブフックリクエストを認証なしで受け入れているため、攻撃者は正規の決済プロセスを完全に無視できます。

  • 無料での商品取得（金銭的損害）：攻撃者はpayment_typeをrecurring（継続課金）など特定の偽造値に設定することで、システムのロジックをだまし、支払いが完了したと誤認させます。これにより、販売者に直接的な金銭的損害が発生します。

  • 不正アクセスの容易さ：攻撃者は認証（ログイン）さえ必要なく、外部から偽のリクエストを送るだけで成功するため、非常に低いコストで攻撃を実行できます。

  ウェブフックを受け取る際は、リクエストの正当性を確認するための認証（署名検証）を必ず行う必要があります。

• ⚠️Download Manager（  3.3.40までの全てのバージョン）
  

  この脆弱性は、パスワード変更時の本人確認が不十分なため、攻撃者が他人のパスワードを勝手に書き換えてアカウントを乗っ取れるというものです。

  管理権限のない攻撃者でも管理者以外のアカウントを奪取でき、そのままシステム内部へ不正に侵入される恐れがあります。

• Download Manager（ 3.3.32までの全てのバージョン ）
  

  アクセス制御の不備（Broken Access Control）

  • 影響: 購読者（Subscriber）以上の権限を持つ認証済みユーザーが、保護されたメディア添付ファイルのパスワードやアクセス制御設定を不正に取得できる。

  • リスク: 本来制限されているはずのメディア保護を迂回され、機密ファイルや制限付きファイルをダウンロードされる恐れがあります。

  • 対策: 脆弱性が修正された最新バージョンへの速やかなアップデートを推奨します。

• Download Manager（ 3.3.25までの全てのバージョン ）
  

  誰でも機密情報を盗み見できる脆弱性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、ユーザーの個人情報や、サイトの重要な設定データを勝手に抜き取れてしまいます。

  これは、深刻な個人情報漏洩につながるため、最優先での緊急対応が必要です。

• Download Manager（ 3.3.24までの全てのバージョン ）
  

  管理者が意図しない不正操作を強制される危険性・外部の攻撃者が、サイト管理者をだまして悪質なリンク（罠）をクリックさせると、管理者が気づかないうちに、管理者しかできないはずの重要な設定変更や操作が勝手に実行されてしまいます。

  これは、サイトの機能停止や、システムへの不正な変更につながる極めて深刻な脆弱性です。

• Download Manager（ 3.3.24までの全てのバージョン ）
  

  誰でも機密情報を盗み見できる脆弱性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、ユーザーの個人情報や、サイトの重要な設定データを勝手に抜き取れてしまいます。

  これは、深刻な個人情報漏洩につながるため、最優先での緊急対応が必要です。

• Download Manager（ 3.3.24までの全てのバージョン ）
  

  管理者による意図しない不正操作の危険性・外部の攻撃者が、サイト管理者をだまして悪質なリンク（罠）をクリックさせると、管理者が気づかないうちに、重要な設定の変更や不正な操作が勝手に実行されてしまいます。

  これは、サイトの機能に影響を与えたり、意図しない被害を引き起こしたりするリスクがあります。

• All in One SEO（  4.9.1までの全てのバージョン ）
  

  SQL インジェクション（SQL Injection）

  • 影響: 寄稿者（Contributor）以上の権限を持つ認証済みユーザーが、既存のSQLクエリに不正な命令を挿入できる。

  • リスク: データベース内の機密情報の抽出、および情報の改ざんや破壊につながる恐れがあります。

  • 対策: 脆弱性が修正された最新バージョンへの速やかなアップデートを推奨します。

• All in One SEO（ 4.8.9までの全てのバージョン ）
  

  寄稿者以上の権限を持つユーザーが、任意のメディアファイル（画像など）を永久に削除できてしまう脆弱性があります。
  IDさえ特定できれば、本来権限のないユーザーがAPI経由でサイトの重要なデータを破壊できてしまうため、至急アップデートが必要です。

• All in One SEO（ 4.8.7.1までの全てのバージョン）
  

  投稿者が管理者レベルの機密情報を盗み見できる危険性・ウェブサイトの投稿者（Contributor）などの権限を持つユーザーが、システムの欠陥を利用して、自分には許可されていないはずの他のユーザーの機密情報や重要なシステム設定を不正に入手できてしまう状態です。

  信頼されているユーザーからの情報漏洩につながるため、アクセス制御の緊急の修正が必要です。

• All in One SEO（ 4.8.7.1までの全てのバージョン）
  

  投稿者が管理者レベルの操作を実行できる危険性・寄稿者などの一定の権限を持つユーザーが、システムの欠陥を利用して、自分には許可されていないはずの重要な操作（例：設定変更、他のユーザーのコンテンツ編集など）を勝手に実行できてしまいます。

  信頼されているユーザーからの意図しないシステム変更や被害につながるリスクがあります。

• All in One SEO（ 4.8.7までの全てのバージョン ）
  

  権限を悪用した不正操作の危険性・寄稿者などの一定の権限を持つユーザーが、システムの不備を利用して、自分には許可されていないはずの重要な操作（例：設定変更、他のユーザーのコンテンツ編集、非公開情報へのアクセスなど）を不正に実行できてしまいます。

  信頼されているユーザーによる意図しないシステム変更や情報漏洩につながる可能性があります。

• All in One SEO（ 4.8.7までの全てのバージョン ）
  

  投稿者が管理者レベルの機密情報を盗み見できる危険性・ウェブサイトの投稿者（Contributor）などの権限を持つユーザーが、システムの欠陥を利用して、自分には許可されていないはずの他のユーザーの機密情報（メールアドレス、非公開の設定など）を不正に入手できてしまう状態です。

  信頼しているユーザーによる情報漏洩につながるため、アクセス制御の緊急の修正が必要です。

• Sticky Header Effects for Elementor（ 2.1.2までの全てのバージョン ）
  

  権限を悪用した不正操作の危険性・寄稿者などの権限を持つユーザーが、システムの欠陥を利用して、自分には許可されていないはずの重要な操作（例：管理者設定の変更、非公開情報の閲覧、他のユーザーのコンテンツ編集など）を勝手に実行できてしまいます。

  信頼しているユーザーからの意図しないシステム変更や情報漏洩につながるリスクがあります。

• Sticky Header Effects for Elementor（ 2.1.2までの全てのバージョン ）
  寄稿者以上の権限でログインしているユーザーが、権限外の操作（通常許可されていないアクション）を実行できる脆弱性が存在します。

• Nextend Social Login and Register（ 3.1.21までの全てのバージョン ）

  ログインしていない悪い人（攻撃者）が、管理者に対して特定のリンクをクリックさせるなどの操作を行うことで、管理者のSNS（FacebookやGoogleなど）を使ったログイン連携（ソーシャルログイン）を、勝手に解除できてしまう弱点があります。
  これはCSRF（クロスサイト・リクエスト・フォージェリ）という攻撃手法です。管理者の権限を悪用し、管理者が意図しない操作（この場合はソーシャルログインの解除）を遠隔で実行させられてしまいます。

• TI WooCommerce Wishlist（ 2.10.0までの全てのバージョン ）
  

  誰でも重要なシステム操作ができてしまう危険性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、管理者しかできないはずの重要な操作や設定変更を勝手に実行できてしまう状態です。

  システム破壊や大規模な情報漏洩につながるため、最優先での緊急対応が必要です。

• YITH WooCommerce Wishlist（ 4.10.0までの全てのバージョン ）
  

  認証されていない攻撃者が、ユーザーのウィッシュリストを無断で改名できてしまう脆弱性があります。
  この脆弱性は、ウィッシュリストの改ざんや大規模なプロファイリングなどに悪用され、完全性への影響を引き起こすため、至急アップデートが必要です。

• YITH WooCommerce Wishlist（ 4.10.0までの全てのバージョン ）
  

  認証していない外部の攻撃者が、ユーザーのウィッシュリストから商品を削除できてしまう脆弱性が見つかりました。
  ウィッシュリストのトークン漏洩や認証回避を組み合わせた手法で悪用されます。ユーザーの信頼に関わる問題のため、至急、最新版にアップデートしてください。

• WooCommerce（ 10.0.2までの全てのバージョン ）
  

  ショップ運営者（shop-manager）以上の権限でログインしているユーザーが、ウェブページに任意のウェブスクリプトを挿入できる脆弱性があります。
  これにより、そのページにアクセスしたユーザーのブラウザ上でスクリプトが実行される、クロスサイトスクリプティング（XSS）につながる可能性があります。
  ただし、この脆弱性は、マルチサイト環境でインストールされている場合、またはunfiltered_html（HTMLのフィルタリング機能）が無効に設定されている場合にのみ影響します。

• Admin and Site Enhancements (ASE)（  8.0.8までの全てのバージョン ）
  

  権限チェックの欠落（Missing Authorization / Broken Access Control）

  • 影響: 投稿者（Author）以上の権限を持つ認証済みユーザーが、本来許可されていない不正な操作（設定の変更や特定の管理機能の実行など）を行える可能性があります。

  • リスク: サイト設定の改ざんや、意図しない機能の有効化・無効化など、サイトの管理権限が部分的に侵害される恐れがあります。

  • 対策: 脆弱性が修正された バージョン 8.1.0 以降 への速やかなアップデートが推奨されます。

• Admin and Site Enhancements (ASE)（ 7.9.7までの全てのバージョン ）
  

  投稿者がSVGファイルを悪用して不正なコードを埋め込める脆弱性・投稿者などの権限を持つユーザー（あるいは、アカウントを乗っ取った攻撃者）が、SVGファイルに不正なプログラムを仕込み、それをウェブサイトにアップロードできてしまいます。

  このSVGファイルが読み込まれるたびに、訪問者のブラウザでプログラムが実行され、個人情報の窃取やアカウントの乗っ取りといった被害につながる危険性があります。

• WP Go Maps (formerly WP Google Maps)（ 10.0.04 までの全てのバージョン ）
  アクセス制御の不備によりグローバルマップエンジンの設定が変更される脆弱性が存在します。 購読者以上の権限を持つ認証済みユーザーであれば、本来制限されているはずのマップ設定を不正に書き換えることが可能です。

• WP Go Maps (formerly WP Google Maps)（ 9.0.48までの全てのバージョン ）
  認証されていない攻撃者が、位置情報検索結果のキャッシュの場所を改ざんすることが可能です。

• WP Go Maps (formerly WP Google Maps)（ 9.0.47までの全てのバージョン ）
  

  v9.0.47以下に、ページに不正なコードを埋め込まれるXSS脆弱性が見つかりました。
  認証していないユーザーでも攻撃が可能であり、サイト訪問時にスクリプトが実行される恐れがあります。至急、最新版にアップデートしてください。

• WP Go Maps (formerly WP Google Maps)（ 9.0.46までの全てのバージョン ）
  

  誰でもマップデータを破壊できる脆弱性・このサイトには、二つの大きなセキュリティ上の欠陥が見つかりました。

  1. 管理者アカウントの悪用: 外部の攻撃者が、ログイン中の管理者をだまして罠のリンクをクリックさせると、管理者が知らないうちに、マップ上の重要なポイントや形状を勝手に変更・削除されてしまいます。

  2. 誰でも削除可能: もっと深刻なことに、ログインしていない誰でも、特定のURLにアクセスするだけで、マップ上のマーカーをすべて削除できてしまう状態です。

  これは、ウェブサイトのデータが破壊される、最も危険なレベルの脆弱性です。早急な対応が必要です。

• WP Go Maps (formerly WP Google Maps)（ 9.0.46までの全てのバージョン ）
  

  このシステムには、以下の二種類の脆弱性が存在します。

  1. CSRF（クロスサイト・リクエスト・フォージェリ）の脆弱性:

     • 未認証の攻撃者が、ログイン中の管理者に対して、マーカーやジオメトリ要素の作成・更新・削除といったデータ操作を強制できます。

     • これにより、管理者が意図しない不正な操作が実行されてしまいます。

  2. 安全でないGETリクエストの脆弱性:

     • 匿名ユーザーでも、安全ではないGETリクエストを利用して、マーカーを一括で削除することが可能です。

     • これにより、システム上の重要なデータが誰でも簡単に消去されてしまいます。

• WP Reset（2.05までの全てのバージョン）
  

  誰でもサイトの機密情報やライセンスキーを盗み見できる脆弱性・サイトにログインしていない外部の攻撃者でも、システムの欠陥を利用して、サイトのライセンスキー（システムの鍵となる情報）や重要な設定データを勝手に抜き取れてしまいます。

  これは、システム乗っ取りやサービスの停止につながる最も深刻なセキュリティリスクです。最優先での緊急対応が必要です。

• Enable Media Replace（ 4.1.6までの全てのバージョン ）
  編集権限（寄稿者以上の権限）で認証されたユーザーは、任意のウェブスクリプトをページにインジェクションできます。このスクリプトは、そのページがアクセスされるたびにクライアントサイドで実行されます。

• Ally（ 3.8.0までの全てのバージョン ）
  「Ally」は、WordPressサイトのアクセシビリティとユーザビリティを向上させる無料のプラグインです。Elementorが開発したプラグインですが、他のテーマやプラグインでも利用可能です。無料版では、文字サイズの変更、文字の配置、グレースケール、画像の非表示などの機能が提供されています。
  

  このシステムには、以下の二種類の脆弱性が存在します。

  1. CSRF（クロスサイト・リクエスト・フォージェリ）によるファイルアップロード:

     • 未認証の攻撃者が、CSRF攻撃を通じて、ログイン中のサイト管理者にフィルタリングされていない（危険な）ファイルのアップロードを強制できます。

     • これは、管理者が攻撃者の用意した悪意のあるリンクなどをクリックした際に発生します。

  2. CSRFによるファイルアップロードリストの変更:

     • 同様のCSRF攻撃により、SVGファイルをアップロードが許可されるファイル形式のリストに追加することが可能です。

• Permalink Manager Lite（ 2.5.1.3までの全てのバージョン ）
  システムには、未認証の攻撃者が機密性の高いユーザーデータ（例：個人情報）や設定データを抽出（exfiltrate）できる情報漏洩の脆弱性が存在します。

• Responsive Lightbox & Gallery（ 2.5.3までの全てのバージョン ）

  投稿者以上の権限を持つユーザーが、内部サーバーへ不正なリクエストを発行できる脆弱性があります。
  Webアプリを悪用され、内部ネットワークの情報照会や設定変更につながる危険があるため、至急アップデートが必要です。

• ⚠️Responsive Lightbox & Gallery（ 2.5.2までの全てのバージョン ）
  認証されていない攻撃者が任意のウェブスクリプトをページに挿入でき、ユーザーがそのページにアクセスするたびにスクリプトが実行されてしまいます。

• ShortPixel Image Optimizer（ 6.3.4までの全てのバージョン ）
  寄稿者以上の権限を持つ認証済みユーザーであれば、サイトのオプションをエクスポートおよびインポートできます。

• Ultimate Addons for Elementor（ 2.4.9までの全てのバージョン ）
  投稿者以上の権限を持つ認証済みユーザーは、任意のウェブスクリプトを含む SVGファイル を挿入できます。これにより、ユーザーがそのSVGファイルにアクセスするたびにウェブスクリプトが実行されてしまいます。

• Crowdsignal Dashboard（ 3.1.3までの全てのバージョン ）
  認証されていない攻撃者が、管理者に細工されたリンクをクリックさせるなどの操作を実行させることで、意図しない、または許可されていない操作を実行させることが可能です（CSRF：クロスサイトリクエストフォージェリ）。

• FileBird（ 6.4.9までの全てのバージョン ）
  投稿者以上の権限を持つ認証済みユーザーは、全てのプラグインの設定データをリセットできます。

•  BackWPup（5から5.5.0までの全てのバージョン）
  バックアップ実行中に、購読者権限以上のユーザーが、本来は見えないはずのバックアップファイル名を一時的に知ることができてしまいます。
  

  この問題の危険な点は、情報そのものの価値ではなく、他の攻撃を成功させるための足がかりになることです。
  この情報自体は無害ですが、悪意のあるユーザーがバックアップファイル名を特定し、別のシステム上の脆弱性を突いてファイルの内容（機密情報）を盗み出すための「鍵」となり得ます。

  • ファイル名の推測を容易にする
    通常、バックアップファイル名はランダムで推測困難です。しかし、この脆弱性によりファイル名を知る（または推測のヒントを得る）ことができ、ブルートフォース攻撃（総当たり攻撃）の効率が大幅に向上します。

  • 限定的な環境での悪用
    特にNGINXなどの特定のウェブサーバー構成環境では、ファイル名さえ分かれば、セキュリティ機能が不十分な場合にバックアップファイルの内容（機密情報を含む）がそのまま取得されてしまう可能性があります。

  • 権限の逸脱
    本来、単なる「購読者」権限のユーザーが、システム管理上の情報である「バックアップファイル名」にアクセスできるのは、権限設定の不備（不適切なアクセス制御）です。

• Password Protected — Lock Entire Site, Pages, Posts, Categories, and Partial Content（ 2.7.11までの全てのバージョン ）
  認証されていない攻撃者が、正規ユーザーのIPアドレスを偽装し、 ログインなしで認証を突破できてしまいます。
  

  この脆弱性は、主に特定のシステム設定に依存して発生します。

  • 認証の完全な迂回：攻撃者は、ログインが必要な機能やコンテンツに、正規ユーザーになりすましてアクセスできてしまいます。

  • 特定の条件が必要：この攻撃が成功するには、以下の2つの条件が満たされている必要があります。

    1. 「Use transients」オプションが有効化されていること：これはデフォルト設定ではないため、管理者が意図的に有効にした場合に危険となります。

    2. CDN/リバースプロキシでIPアドレスが上書きされていないこと：サイトが特定のネットワーク構成（CDNなど）の下にない場合、攻撃が成功しやすくなります。

• Advanced Database Cleaner（ 3.1.6までの全てのバージョン ）
  認証されていない攻撃者が、管理者に悪意のあるリンクをクリックさせるだけで、 システムの重要な設定（keep last）を勝手に変更できてしまいます。
  

  この脆弱性は、クロスサイトリクエストフォージェリ（CSRF）と呼ばれる攻撃に該当する可能性が高く、管理者の権限を悪用します。

  • 権限の乗っ取り：攻撃者は管理者のアカウントにログインすることなく、管理者のブラウザが持っている認証情報（セッション）を利用して、設定変更という重要な操作を実行させます。

  • 「keep last」設定変更の影響：「keep last」設定は、システムのバックアップや履歴データの保持に関するルールである可能性が高く、この変更により以下のような損害が発生する恐れがあります。

    • データ保持期間の短縮：必要なバックアップデータが早期に削除され、障害発生時の復旧が不可能になる。

    • データ容量の圧迫：設定が不適切に変更され、不要なデータが保持され続ける。

  • 攻撃の容易さ：悪意のあるリンクをメールやSNSで管理者に送り、クリックさせるだけで攻撃が成立するため、非常に手軽に実行できてしまいます。

• GenerateBlocks（ 2.1.1までの全てのバージョン ）
  寄稿者権限以上のユーザーが、サイトの機密情報（APIキー、SMTPパスワードなど）を含む 任意の重要な設定データを全て読み取れてしまいます。
  

  この脆弱性は、権限が低いユーザーに過剰な情報アクセスを許してしまう深刻な問題です。

  • 機密情報の直接的な漏洩：WordPressオプションには、システムやプラグインが保存する以下のような最高レベルの機密情報が含まれていることが多く、これが直接読み取られます。

    • SMTP認証情報：メール送信機能のユーザー名とパスワード。

    • APIキー：外部サービスと連携するための認証キー。

    • 決済情報：プラグインが保存した決済関連の設定データ。

  • 権限の逸脱：本来、記事の投稿・編集のみが可能な**「寄稿者」レベルのユーザーが、サイト全体のセキュリティに関わる管理レベルの情報にアクセスできてしまうのは、システムのアクセス制御（権限設定）の不備**を示しています。

  • 二次被害のリスク：取得した機密情報（APIキーなど）を利用して、外部サービスへの不正アクセスや、より高度な攻撃（メールサーバーの乗っ取りなど）を行うための足がかりとなります。

• Smash Balloon Social Post Feed（ 4.3.2までの全てのバージョン ）
  購読者権限以上のユーザーが、本来許されていない管理操作や設定変更など、 その権限以上の「許可されていないアクション」を実行できてしまいます。
  

  これは、システムにおけるアクセス制御（権限設定）の不備を示す最も一般的な脆弱性の一つです。

  • 権限の逸脱による被害：

    • データ改ざん/削除：コンテンツや他のユーザーのデータを勝手に編集したり削除したりする。

    • 設定の変更：サイトのテーマ、プラグイン、全体の設定などを勝手に変更し、サイトの運営に支障をきたす。

    • 不正アクセス：他のユーザー情報（メールアドレスなど）を閲覧・変更する。

  • 影響範囲の広さ：権限を持つ全ての購読者以上のユーザー（寄稿者、編集者、管理者など）が悪用する可能性があるため、悪意のあるユーザーやアカウント乗っ取りの被害が広がりやすいです。

• WooCommerce（ 7.8.2までの全てのバージョン ）
  認証されていない攻撃者が、ログインせずに、 サイトのユーザーの氏名、メールアドレスなどの 機密性の高い個人情報を盗み出せてしまいます。
  

  この脆弱性は、情報漏洩に直結する非常に深刻な問題です。

  • P II（個人識別情報）の流出：流出した情報には、氏名、メールアドレス、電話番号、住所など、個人の特定につながる情報が含まれる可能性があり、プライバシー侵害や二次被害（フィッシング詐欺など）につながります。

  • 攻撃の容易さ：攻撃者はログイン（認証）が不要なため、特別な知識や権限なしに、誰でも簡単に情報を抽出できてしまいます。

  • 法的リスク：個人情報保護法やGDPRなどの規制に違反し、企業や組織が重い罰則や社会的信頼の失墜を負う可能性があります。

• LiteSpeed Cache（ 7.5.0.1までの全てのバージョン ）
  認証されていない攻撃者が、ユーザーに悪意のあるリンクをクリックさせるだけで、 そのウェブページ内で攻撃者が仕込んだ不正なプログラム（スクリプト）を実行できてしまいます。
  

  これはクロスサイトスクリプティング（XSS）と呼ばれる深刻な脆弱性です。

  • ユーザーへの直接的な被害：

    • セッションハイジャック：実行されたスクリプトにより、ユーザーのログイン情報（セッションクッキー）が盗まれ、攻撃者にアカウントを乗っ取られる可能性があります。

    • 機密情報の窃取：ユーザーが入力した個人情報やクレジットカード情報などが攻撃者に送信されてしまう可能性があります。

    • コンテンツの改ざん：ユーザーのブラウザ上で表示されているページ内容が書き換えられ、フィッシングサイトへ誘導されることがあります。

  • 認証は不要：攻撃者はサイトにログインする必要がなく、不正なリンクをユーザーにクリックさせるという比較的簡単な手口で攻撃を成功させられます。

• Anti-Malware Security and Brute-Force Firewall（ 4.23.81までの全てのバージョン ）
  購読者権限以上のユーザーが、 サイトの運営に必要な設定ファイルやパスワード情報など、 サーバー上のあらゆる機密ファイルを自由に閲覧できてしまいます。
  

  この脆弱性は「任意のファイル読み取り」（Arbitrary File Read）に該当し、極めて深刻な情報漏洩リスクを伴います。

  • 機密情報の大量流出：読み取られる可能性のあるファイルには以下のようなものがあります。

    • 設定ファイル：データベースの接続情報（ユーザー名、パスワード）。

    • ログファイル：ユーザーの行動履歴やエラー情報。

    • ソースコード：アプリケーションのロジックや、コード中にハードコードされた認証情報。

  • 権限の完全な無視：本来、コンテンツ閲覧が主たる役割の「購読者」権限のユーザーが、システム管理者しかアクセスできないはずのサーバー内部の情報にアクセスできるのは、アクセス制御（権限設定）が完全に機能していないことを示します。

  • 二次攻撃のリスク：読み取った機密情報（特にデータベース認証情報など）を利用して、データベースへの不正アクセスやデータの改ざん・削除など、さらに重大な攻撃を許す足がかりとなります。

• BuddyPress（ 14.3.4までの全てのバージョン ）
  認証されていない攻撃者が、 ログインもせずに、本来は管理者などの限られたユーザーしかできない 不正な操作（許可されていないアクション）を自由に実行できてしまいます。
  

  これは「認証の不備」と「アクセス制御の不備」が重なった、非常に危険な脆弱性です。

  • 認証の完全な無視：攻撃者はアカウントを持つ必要がなく、誰でも攻撃を実行できます。

  • 被害の深刻さ：実行される「許可されていないアクション」の内容によって被害は異なりますが、以下のような重大な影響が考えられます。

    • データ改ざん/削除：コンテンツ、ユーザーデータ、設定の変更や消去。

    • 金銭的被害：支払いシステムの操作や不正注文。

    • 機能の停止：DoS攻撃（サービス拒否攻撃）につながる操作。

  • 攻撃の容易さ：認証不要であるため、スクリプトやツールを使って広範囲かつ自動的に攻撃されるリスクが高いです。

• ⚠️ Advanced Ads – Ad Manager & AdSense （  2.0.14までの全てのバージョン ）
  

  この脆弱性は、パラメータの検証不備により、編集者以上の権限を持つ攻撃者がサーバー上で任意のプログラムを実行できてしまうというものです。

  最悪の場合、サイトの完全な乗っ取りやサーバー内データの破壊を招く恐れがあるため、極めて危険度の高い状態です。

• ⚠️ Advanced Ads – Ad Manager & AdSense （ 2.0.12までの全てのバージョン ）
  特定の管理者機能（AJAXエンドポイント）へのアクセス制限が不十分であり、呼び出せる関数が安全なものに限定されていない。
  この問題により、ログインしていない攻撃者でも、get_the_で始まる関数（例：get_the_excerptなど）を自由に実行でき、結果としてサイト内の情報が漏洩する危険性があります。

• WP Fastest Cache（  1.4.0までの全てのバージョン ）
   プレミアム機能がオンの場合、購読者レベルのユーザーがデータベースを不正に操作できてしまう。

• WP Fastest Cache（ 1.2.1までの全てのバージョン ）
  認証されていない攻撃者が、既存のSQLクエリに不正な追加のクエリを挿入することにより、データベースから機密情報を盗み出すことが可能となる脆弱性が存在します。

• TablePress（ 3.2.4までの全てのバージョン ）
  

  寄稿者以上の権限でログインしているユーザーが、ウェブページに任意のウェブスクリプトを挿入できる脆弱性があります。
  これにより、そのページを閲覧した他のユーザーのブラウザ上でスクリプトが実行され、クロスサイトスクリプティング（XSS）につながる危険性があります。

• Post SMTP（ 3.6.1までの全てのバージョン ）
  

  管理者などがログインしていると、サイトの仕組みを乗っ取ろうとするための偽の認証情報をこっそり設定できてしまう危険性があります。

• Gutenberg（ 21.8.2までの全てのバージョン ）
  

  寄稿者以上の権限でログインしているユーザーが、ウェブページに任意のウェブスクリプトを挿入できる脆弱性があります。
  これにより、そのページを閲覧した他のユーザーのブラウザ上でスクリプトが実行されるクロスサイトスクリプティング（XSS）につながる危険性があります。

• ⚠️ Polylang（ 3.7.3までの全てのバージョン ）
  

  PHPオブジェクトインジェクションの脆弱性が存在します。これは、信用できない入力値を処理する際の逆シリアライズ処理に問題があるためです。
  この脆弱性は、寄稿者以上の権限でログインしているユーザーによって悪用され、任意のPHPオブジェクトを挿入される可能性があります。
  ただし、この脆弱性単体では悪質な動作を起こす仕組み（POPチェイン）は含まれていません。ウェブサイトにPOPチェインを持つ他のプラグインやテーマが同時に存在する場合のみ影響を受けます。
  もし他の箇所にPOPチェインが存在すれば、攻撃者はそれを悪用し、任意のファイルの削除、機密データの取得、またはPHPコードの実行といった深刻な被害を引き起こすことができます。

• Ad Inserter（ 2.8.7までの全てのバージョン ）
  

  寄稿者以上の権限でログインしているユーザーが、ウェブページに任意のウェブスクリプトを挿入できる脆弱性があります。
  これにより、そのページを閲覧した他のユーザーのブラウザ上でスクリプトが実行され、クロスサイトスクリプティング（XSS）につながる危険性があります。

• Popup and Slider Builder by Depicter（ 4.0.4までの全てのバージョン ）
  

  1. ファイルアップロードの脆弱性
  寄稿者以上の権限でログインしているユーザーが、影響を受けるサイトのサーバーに限定してファイルをアップロードできる脆弱性が存在します。

  2. 設定変更の脆弱性
  認証されていない攻撃者が、管理者（ユーザー）にリンクをクリックさせるなどの操作を実行させることにより、ドキュメントルールの設定を不正に変更することが可能となる脆弱性があります。

• Rank Math SEO（1.0.252.1までの全てのバージョン）
  

  1. 権限昇格の脆弱性
  投稿者以上の権限でログインしているユーザーが、権限外の操作（通常許可されていないアクション）を実行できる脆弱性が存在します。

  2. 情報漏洩の脆弱性
  購読者以上の権限でログインしているユーザーが、機密性の高いユーザー情報や設定情報を不正に抜き出すことが可能となる脆弱性が存在します。

• ⚠️ Code Snippets（ 3.9.1までの全てのバージョン ）
  PHPコードインジェクションの脆弱性があります。
  

  攻撃が成立するには、以下のすべての条件を満たす必要があります。

  1. 認証済みユーザーであること（寄稿者以上の権限が必要）。

  2. 攻撃者が、管理者に対して以下の2点を実行させることに成功していること。

     • 設定で「ファイルベースの実行を有効にする」を有効化させる。

     • アクティブなコンテンツスニペットを少なくとも1つ作成させる。

  寄稿者以上の権限を持つユーザーが、管理者に特定の危険な設定を有効にさせた場合、サーバー上で任意のPHPコードを実行できる脆弱性です。

• ⚠️Code Snippets（ 3.9.1までの全てのバージョン ）
  

  v3.9.1以下に、サーバー上で不正なPHPコードを実行される脆弱性が見つかりました。
  攻撃は寄稿者以上のユーザーから行われますが、管理者が特定の「ファイル実行設定」を有効にしていることが悪用の条件となります。
  条件は複雑なものの、成功するとサーバーを乗っ取られる危険があるため、至急最新版へアップデートしてください。

• Broken Link Checker by AIOSEO（ 1.2.6までの全てのバージョン ）
  

  SQL インジェクション（SQL Injection）

  • 影響: 投稿者（Author）以上の権限を持つ認証済みユーザーが、既存のSQLクエリに不正な命令を挿入できる。

  • リスク: データベースから機密情報を抽出される恐れや、データの改ざん・破壊につながる危険性があります。

  • 対策: 脆弱性が修正された最新バージョン（1.2.7以降）への速やかなアップデートを推奨します。

• Broken Link Checker by AIOSEO（ 1.2.5までの全てのバージョン ）
  

  寄稿者以上の権限を持つユーザーが、サイト上の任意の投稿を削除できてしまう脆弱性が存在します。
  本来権限のないユーザーが、特定のAPIを通じてコンテンツを破壊できてしまうため、至急最新版へアップデートしてください。

• VK All in One Expansion Unit（ 9.112.1までの全てのバージョン ）
  

  寄稿者以上の権限を持つユーザーが、任意のウェブスクリプトをページに埋め込める脆弱性があります。
  サイト訪問時に悪意あるコードが実行される危険（XSS）があるため、至急、最新版へアップデートが必要です。

• Post Type Switcher（ 4.0.0までの全てのバージョン ）
  

  投稿者以上の権限を持つユーザーが、自身以外の投稿やページのタイプを任意に変更できる脆弱性があります。
  サイトのナビゲーション破損やSEOへの深刻な影響につながる危険があるため、至急、最新版へアップデートが必要です。

• ⚠️W3 Total Cache（ 2.8.12までの全てのバージョン ）
  コメント機能が有効な場合、認証されていないユーザーによってリモートコードが実行される可能性がある。
  
  

  • これは理論上の問題であり、悪用には秘密の値の取得が必要で非常に難しい。

  • 開発元やセキュリティ企業（Wordfence）は、真の脆弱性ではないと考えている。

  • WPScanはCVE IDを割り当てている。

• Cookie Notice & Compliance for GDPR / CCPA（ 2.5.8までの全てのバージョン ）
  ログイン済みの寄稿者が、サイト訪問者のブラウザで任意のコードを実行できる可能性があります。

• WP Shortcodes Plugin — Shortcodes Ultimate（ 7.4.5までの全てのバージョン ）
  

  サーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性があります。
  管理者（または「Unsafe features」有効時は寄稿者）が、サーバーを踏み台にして内部ネットワークへ不正なリクエストを送り、情報を盗み出したり設定を変更したりする可能性があります。

• Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories（ 4.9.1までの全てのバージョン ）
  REST APIエンドポイントの処理に脆弱性があります。
  ログイン済みの投稿者が、REST APIを悪用して、自分に権限のない任意のページや投稿を公開・非公開に操作できてしまう。

• ⚠️Backup Migration（ 1.4.9までの全てのバージョン ）
  ウェブサイトのパスワードなどの重要な設定情報が攻撃者に盗み見される危険性があります。

• Autoptimize（ 3.1.13までの全てのバージョン ）
  記事を投稿できる権限を持つユーザーが、訪問者のパソコンで勝手に動く危険なプログラムをウェブサイトに仕込めてしまう状態です。

• ⚠️Beaver Builder Page Builder（ 2.9.4.1までの全てのバージョン ）
  

  Beaver Builderの duplicate_wpml_layout 関数における権限チェックの欠落により、以下のリスクが存在します。

  • 影響: 購読者以上の権限を持つ認証済みユーザーが、任意の投稿内容を別の投稿で上書きできる。

  • リスク: * 非公開・パスワード保護コンテンツの情報漏洩。

    • 既存コンテンツの意図しない削除（リビジョンがない場合は復旧不可）。

  • 条件: コピー元および対象の投稿が Beaver Builder で作成されていること。

• Beaver Builder Page Builder（ 2.9.4までの全てのバージョン ）
  記事を書ける人が、ウェブサイトのデザインを管理している設定を勝手に無効化し、ページの見た目を簡単に壊せてしまう状態です。

• Custom Post Type UI（ 1.18.0までの全てのバージョン ）
  ウェブサイトにログインしている「購読者」以上の権限を持つユーザーが、ごく限られた条件が揃った時に、本来は管理者しかできないはずの「カスタム投稿タイプ」（特別な記事や情報のかたまり）を、勝手に作ったり、編集したり、消したりできてしまう弱点があります。

• Advanced Custom Fields: Extended（ 0.9.0.5から0.9.1.1までの全てのバージョン ）
  誰でも、ウェブサイトの心臓部（サーバー）に入り込み、サイトの全てを支配できるコードを勝手に実行できてしまう、最悪の危険性がある状態です。

• ⚠️Widgets for Google Reviews（ 13.2.4までの全てのバージョン ）
  本プラグインのVer.13.2.4以下には、Googleレビューを介したStored XSSの脆弱性があります。
  未認証の攻撃者がレビューに悪意のあるスクリプトを混入させることで、サイト閲覧者のブラウザ上で不正な操作が行われる危険性があります。

• XML Sitemap Generator for Google（ 4.1.21までの全てのバージョン ）
  

  権限チェックの不備により不正アクセスおよびデータ改ざんの脆弱性が存在します。

  • 攻撃内容: 認証の有無に関わらず（または低権限ユーザーにより）、任意の投稿を別の投稿内容で強制的に上書きできる。

  • 主なリスク: * 機密漏洩: 非公開やパスワード保護されたコンテンツの露出。

    • データ消失: 既存コンテンツの削除（バックアップがない場合は復旧不可）。

  • 対象: Beaver Builder で作成されたコンテンツ。

• Ultimate Member（ 2.11.0までの全てのバージョン ）
  

  機密情報の露出 / 総当たり攻撃（Insecure Direct Object Reference / Brute Force）

  • 攻撃内容: 未認証の攻撃者が、特定の ID（directory_id）の列挙や、比較的小さなトークン空間（$16^5$ 通り）への総当たり攻撃を行うことで、機密データを抽出可能。

  • 露出するデータ:

    • ユーザー名、表示名、プロフィール URL、ユーザー ID

    • 管理者アカウントを含むユーザーロール情報

  • リスク: 抽出されたアカウント情報を基にしたさらなる不正アクセスや、標的型攻撃の足がかりとなる恐れがあります。

• Migration, Backup, Staging（ 0.9.120までの全てのバージョン ）
  

  権限チェックの不備（Missing Authorization）

  • 影響: 管理者以上の権限を持つ認証済みユーザーが、システムの制限を超えてサーバー上の任意の場所にディレクトリ（フォルダ）を作成できる。

  • リスク: * サーバー構成の意図しない変更。

    • 他の脆弱性と組み合わせた場合、不正なファイルの配置や攻撃の足がかりとして悪用される恐れ。

  • 蓄積型クロスサイトスクリプティング（Stored XSS）

    • 影響: 寄稿者（Contributor）以上の権限を持つ認証済みユーザーが、任意のウェブスクリプトをページ内に挿入できる。

    • リスク: スクリプトが挿入されたページにユーザーがアクセスするたびに、ブラウザ上でスクリプトが自動実行され、セッション情報の奪取やサイトの改ざんが行われる恐れがあります。

  • 対策: 修正済みバージョンへの速やかなアップデートを推奨。

• FiboSearch（ 1.32.0までの全てのバージョン ）
  

  蓄積型クロスサイトスクリプティング（Stored XSS）

  • 攻撃内容: 寄稿者（Contributor）以上の権限を持つ認証済みユーザーが、任意のウェブスクリプトをページ内に挿入できる。

  • 影響: スクリプトが挿入されたページにユーザーがアクセスするたびに、そのブラウザ上でスクリプトが自動実行される（セッション情報の奪取やサイトの改ざんなど）。

  • 発生条件: 以下の条件がすべて重なった場合にのみ発生します。

    1. TheGem theme (premium) がインストールされている。

    2. Header Builder mode が有効である。

    3. FiboSearchの "Replace search bars" オプションが有効である。

• Health Check & Troubleshooting（ 1.7.1までの全てのバージョン ）
  

  パス・トラバーサル / ディレクトリ・トラバーサル（Path Traversal）

  • 影響: 管理者以上の権限を持つ認証済みユーザーが、プラグインが本来想定しているディレクトリの範囲を超えて、サーバー上の任意のファイルに対して操作を実行できる。

  • リスク: * サーバー内の機密ファイルの閲覧。

    • システム構成ファイルの改ざんや削除。

  • 対策: 脆弱性が修正された最新バージョンへの速やかなアップデートを推奨します。

• Depicter — Popup & Slider Builder（ 4.0.4までの全てのバージョン ）
  

  クロスサイト・リクエスト・フォージェリ（CSRF）

  • 攻撃内容: 未認証の攻撃者が、管理者に悪意のあるリンクをクリックさせる等の操作を誘導することで、管理者の権限を利用した偽造リクエストを送信させる。

  • リスク: ドキュメントのルール（設定や表示条件など）を外部から不正に変更される恐れがあります。

  • 対策: 脆弱性が修正された最新バージョンへの速やかなアップデートを推奨します。

• Feeds for YouTube (YouTube video, channel, and gallery plugin)（ 2.4.0までの全てのバージョン ）
  

  権限チェックの欠落（Missing Authorization / Broken Access Control）

  • 影響: 未認証の攻撃者（ログインしていないユーザー）が、本来制限されているはずの特定の機能やアクションを不正に実行できる可能性があります。

  • リスク: * 意図しない設定の変更や、プラグイン機能の不正操作。

    • 他の攻撃（情報の漏洩やサイトの改ざんなど）の足がかりとして悪用される恐れ。

  • 対策: 脆弱性が修正された バージョン 2.6.1 以降 への速やかなアップデートが推奨されます。

• Crowdsignal Forms（ 1.7.2までの全てのバージョン ）
  

  この脆弱性は、投稿者権限があればシステムの制限を回避して、本来許可されていない不正な操作を強制的に実行できてしまうというものです。

  特定の操作に対する権限チェックが不十分なため、記事を書くための権限が悪用され、サイトの設定変更やデータの改ざんを招く恐れがあります。

• WebP Express（ 0.25.9までの全てのバージョン）
  

  この脆弱性は、設定情報の保護が欠如しているため、ログインしていない外部の攻撃者がサイトのシステム設定や内部データを勝手に抜き取れてしまうというものです。

  重要な環境設定や認証情報が露出することで、サイト全体の乗っ取りやさらなる攻撃の足がかりにされる危険性があります。

• ⚠️File Manager Pro（ 1.8.5までの全てのバージョン ）
  パラメータ検証不備によるローカルファイルインクルードの脆弱性が存在します。
  認証済みの管理者がこれを悪用すると、任意ファイルの読み込みや実行、機密情報の奪取、最悪の場合は遠隔でのコード実行を許す恐れがあります。

• Yoast Duplicate Post（ 3.2.4までの全てのバージョン）
  この脆弱性は、管理者が設定を変更する際の入力バリデーション（検証）やサニタイズ（無害化）が不十分であることに起因します。

• MW WP Form（ 5.1.2までの全てのバージョン ）
  

  概要
  generate_user_filepath および move_temp_file_to_upload_dir 関数における検証不足により、未認証の攻撃者がサーバー上の任意のファイルを移動させることが可能です。

  リスクと悪用条件

  • リスク: wp-config.php 等が標的になると、リモートコード実行（RCE）に繋がる恐れがあります。

  • 発生条件: 以下の両方を満たす場合のみ悪用可能です。

    1. フォームに「ファイルアップロード項目」がある

    2. 「問い合わせデータをデータベースに保存」オプションが有効

  • 未認証ユーザーによる保護された投稿（非公開・下書き等）のデータ不正取得。
    権限のない未認証ユーザーに、パスワード保護・非公開・下書きの投稿データが漏洩する恐れがあります。

• Loco Translate（ 2.8.2までの全てのバージョン ）
  

  概要
  認証されていない攻撃者が、悪意のあるリンクをユーザーに踏ませることで、ブラウザ上で任意のスクリプトを実行させることが可能です。

  攻撃の仕組み

  1. 罠の設置: 攻撃者がスクリプトを含む不正なURLを作成し、メールやSNSで配布します。

  2. 実行: ユーザーがそのリンクをクリックすると、ブラウザ上でスクリプトが動作します。

  3. 被害: Cookie（セッション情報）の窃取、サイトの改ざん、意図しない操作の強制などが行われる可能性があります。

  ---

  対策: 入力値のサニタイズ（無害化）および出力時のエスケープ処理を徹底してください。

---

ご相談窓口のご案内

ご自身のWordPressサイトが影響を受けるか確認したい、またはアップデート作業に不安がある場合は、お気軽にご相談ください。弊社サポート担当が対応いたします。

サポート専用ダイヤル: 050-5794-4348

【お願い】

安全のため、プラグインやテーマは常に最新の状態にアップデートすることを強く推奨します。