Tech Insights
【CVE-2025-1188】Codezips Gym Management System 1...
Codezips Gym Management System 1.0のupdateroutine.phpファイルにSQLインジェクションの脆弱性が発見された。tid引数の不適切な処理により、リモートからの攻撃が可能な状態となっている。CVSSスコアは最新のv4.0で5.3、v3.1とv3.0で6.3と評価され、攻撃コードも公開されているため、早急な対応が必要とされている。
【CVE-2025-1188】Codezips Gym Management System 1...
Codezips Gym Management System 1.0のupdateroutine.phpファイルにSQLインジェクションの脆弱性が発見された。tid引数の不適切な処理により、リモートからの攻撃が可能な状態となっている。CVSSスコアは最新のv4.0で5.3、v3.1とv3.0で6.3と評価され、攻撃コードも公開されているため、早急な対応が必要とされている。
【CVE-2024-13692】WooCommerceプラグインに認証バイパスの脆弱性、返金処...
Wordfenceは2025年2月14日、WooCommerceのReturn Refund and Exchange For WooCommerceプラグインにおいて、認証済みユーザーによる不適切な直接オブジェクト参照の脆弱性を発見した。この脆弱性により、返金画像の改ざんや他のユーザーの注文メッセージの閲覧が可能となる。CVSSスコアは5.4で中程度の深刻度と評価されている。
【CVE-2024-13692】WooCommerceプラグインに認証バイパスの脆弱性、返金処...
Wordfenceは2025年2月14日、WooCommerceのReturn Refund and Exchange For WooCommerceプラグインにおいて、認証済みユーザーによる不適切な直接オブジェクト参照の脆弱性を発見した。この脆弱性により、返金画像の改ざんや他のユーザーの注文メッセージの閲覧が可能となる。CVSSスコアは5.4で中程度の深刻度と評価されている。
【CVE-2024-13478】WordPressプラグインLTL Freight Quote...
WordFenceが2025年2月19日、WordPressプラグイン「LTL Freight Quotes – TForce Edition」のバージョン3.6.4以前に認証なしでSQLインジェクションが可能な脆弱性を発見した。CVE-2024-13478として識別されたこの脆弱性は、CVSSスコア7.5の深刻度の高い問題として報告されており、認証されていない攻撃者がデータベースから機密情報を抽出できる可能性がある。
【CVE-2024-13478】WordPressプラグインLTL Freight Quote...
WordFenceが2025年2月19日、WordPressプラグイン「LTL Freight Quotes – TForce Edition」のバージョン3.6.4以前に認証なしでSQLインジェクションが可能な脆弱性を発見した。CVE-2024-13478として識別されたこの脆弱性は、CVSSスコア7.5の深刻度の高い問題として報告されており、認証されていない攻撃者がデータベースから機密情報を抽出できる可能性がある。
【CVE-2024-13479】LTL Freight Quotes – SEFL Editi...
WordPressプラグインのLTL Freight Quotes – SEFL Editionにおいて、バージョン3.2.4以前の全バージョンでSQLインジェクションの脆弱性が発見された。未認証の攻撃者が'dropship_edit_id'と'edit_id'パラメータを悪用し、データベースから機密情報を抽出できる可能性がある。CVSSスコア7.5の高リスクと評価されており、早急な対応が求められている。
【CVE-2024-13479】LTL Freight Quotes – SEFL Editi...
WordPressプラグインのLTL Freight Quotes – SEFL Editionにおいて、バージョン3.2.4以前の全バージョンでSQLインジェクションの脆弱性が発見された。未認証の攻撃者が'dropship_edit_id'と'edit_id'パラメータを悪用し、データベースから機密情報を抽出できる可能性がある。CVSSスコア7.5の高リスクと評価されており、早急な対応が求められている。
【CVE-2025-1132】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、EditEventAttendees.phpのEN_tyidパラメータにSQLインジェクションの脆弱性が発見された。CVSSスコア9.3のCriticalな脆弱性で、管理者権限を持つ攻撃者がデータベースの情報を不正に取得できる可能性がある。時間ベースのブラインドSQLインジェクションとして識別され、早急な対策が必要とされている。
【CVE-2025-1132】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、EditEventAttendees.phpのEN_tyidパラメータにSQLインジェクションの脆弱性が発見された。CVSSスコア9.3のCriticalな脆弱性で、管理者権限を持つ攻撃者がデータベースの情報を不正に取得できる可能性がある。時間ベースのブラインドSQLインジェクションとして識別され、早急な対策が必要とされている。
【CVE-2024-13489】LTL Freight Quotes – Old Domini...
WordPressプラグインのLTL Freight Quotes – Old Dominion Editionにおいて、認証不要で攻撃可能なSQLインジェクションの脆弱性が発見された。CVSSスコア7.5の高リスク脆弱性として評価され、バージョン4.2.10以前の全バージョンが影響を受ける。'edit_id'および'dropship_edit_id'パラメータの不適切な処理により、攻撃者がデータベースから機密情報を抽出できる可能性がある。
【CVE-2024-13489】LTL Freight Quotes – Old Domini...
WordPressプラグインのLTL Freight Quotes – Old Dominion Editionにおいて、認証不要で攻撃可能なSQLインジェクションの脆弱性が発見された。CVSSスコア7.5の高リスク脆弱性として評価され、バージョン4.2.10以前の全バージョンが影響を受ける。'edit_id'および'dropship_edit_id'パラメータの不適切な処理により、攻撃者がデータベースから機密情報を抽出できる可能性がある。
【CVE-2025-1134】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0以前のバージョンにSQLインジェクションの脆弱性が発見された。DonatedItemEditor機能のCurrentFundraiserパラメータで入力値の検証が不十分であり、管理者権限を持つ攻撃者が任意のSQLクエリを実行可能。CVSSスコア9.3のCriticalな脆弱性として評価され、データベースの情報漏洩や改ざんのリスクが指摘されている。
【CVE-2025-1134】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0以前のバージョンにSQLインジェクションの脆弱性が発見された。DonatedItemEditor機能のCurrentFundraiserパラメータで入力値の検証が不十分であり、管理者権限を持つ攻撃者が任意のSQLクエリを実行可能。CVSSスコア9.3のCriticalな脆弱性として評価され、データベースの情報漏洩や改ざんのリスクが指摘されている。
【CVE-2024-13476】WordPressプラグインLTL Freight Quote...
WordPressプラグイン「LTL Freight Quotes – GlobalTranz Edition」にSQLインジェクションの脆弱性が発見された。バージョン2.3.11以前のすべてのバージョンで、engtz_wd_save_dropshipエンドポイントを介した未認証でのSQLインジェクションが可能。CVSSスコア7.5（High）と評価され、データベースからの機密情報抽出のリスクがある。開発者による迅速な対応と利用者のアップデートが推奨される。
【CVE-2024-13476】WordPressプラグインLTL Freight Quote...
WordPressプラグイン「LTL Freight Quotes – GlobalTranz Edition」にSQLインジェクションの脆弱性が発見された。バージョン2.3.11以前のすべてのバージョンで、engtz_wd_save_dropshipエンドポイントを介した未認証でのSQLインジェクションが可能。CVSSスコア7.5（High）と評価され、データベースからの機密情報抽出のリスクがある。開発者による迅速な対応と利用者のアップデートが推奨される。
【CVE-2024-13235】WordPressプラグインPinpoint Booking ...
WordPressプラグイン「Pinpoint Booking System」のバージョン2.9.9.5.2以下において、SQLインジェクションの脆弱性が発見された。この脆弱性はCVE-2024-13235として識別され、CVSSスコア6.5の中程度の深刻度と評価されている。購読者以上の権限を持つユーザーが悪用可能で、データベースから機密情報を抽出できる可能性があるため、早急な対応が必要とされる。
【CVE-2024-13235】WordPressプラグインPinpoint Booking ...
WordPressプラグイン「Pinpoint Booking System」のバージョン2.9.9.5.2以下において、SQLインジェクションの脆弱性が発見された。この脆弱性はCVE-2024-13235として識別され、CVSSスコア6.5の中程度の深刻度と評価されている。購読者以上の権限を持つユーザーが悪用可能で、データベースから機密情報を抽出できる可能性があるため、早急な対応が必要とされる。
【CVE-2024-13818】WordPressプラグインRegistration Form...
WordPressのプラグインRegistration Formsにおいて、バージョン3.8.3.9以前に重大な脆弱性が発見された。CVE-2024-13818として識別されるこの脆弱性により、認証されていない攻撃者がログファイルを通じてユーザーの機密情報にアクセスできる可能性がある。CVSSスコア5.3の中程度の脆弱性とされ、早急な対策が必要とされている。
【CVE-2024-13818】WordPressプラグインRegistration Form...
WordPressのプラグインRegistration Formsにおいて、バージョン3.8.3.9以前に重大な脆弱性が発見された。CVE-2024-13818として識別されるこの脆弱性により、認証されていない攻撃者がログファイルを通じてユーザーの機密情報にアクセスできる可能性がある。CVSSスコア5.3の中程度の脆弱性とされ、早急な対策が必要とされている。
ユニリタがWaha! Transformerの生成AI連携オプションを発表、セキュアな環境での...
株式会社ユニリタは、純国産ノーコードETLツール「Waha! Transformer」の新オプションとして生成AI連携オプションを2025年2月に提供開始する。クラウドへのデータアップロードが不要で情報漏洩リスクを抑制しつつ、チャットWebアプリケーションを通じた生成AIとの対話や、PDF・Word・画像ファイルへの対応、PostgreSQLのベクトルデータベース連携など、充実した機能を実現した。
ユニリタがWaha! Transformerの生成AI連携オプションを発表、セキュアな環境での...
株式会社ユニリタは、純国産ノーコードETLツール「Waha! Transformer」の新オプションとして生成AI連携オプションを2025年2月に提供開始する。クラウドへのデータアップロードが不要で情報漏洩リスクを抑制しつつ、チャットWebアプリケーションを通じた生成AIとの対話や、PDF・Word・画像ファイルへの対応、PostgreSQLのベクトルデータベース連携など、充実した機能を実現した。
GSXが丸紅I-DIGIOと連携しBoxの設定診断サービスを開始、NISTフレームワークに基づ...
グローバルセキュリティエキスパートは2025年2月25日、丸紅I-DIGIOホールディングスと連携し、国内19,000社で導入されているクラウドストレージ「Box」向けの設定診断サービスを開始した。NIST SP800-171およびNIST SP800-207に基づく診断により、クラウドサービスにおける設定不備に起因する情報漏洩事故の防止を支援する。GSXの豊富な診断実績とBoxの一次代理店である丸紅ITソリューションズの知見を活かした専門的なサービスを展開する。
GSXが丸紅I-DIGIOと連携しBoxの設定診断サービスを開始、NISTフレームワークに基づ...
グローバルセキュリティエキスパートは2025年2月25日、丸紅I-DIGIOホールディングスと連携し、国内19,000社で導入されているクラウドストレージ「Box」向けの設定診断サービスを開始した。NIST SP800-171およびNIST SP800-207に基づく診断により、クラウドサービスにおける設定不備に起因する情報漏洩事故の防止を支援する。GSXの豊富な診断実績とBoxの一次代理店である丸紅ITソリューションズの知見を活かした専門的なサービスを展開する。
Ｓｋｙ社がSKYSEA Client Viewのオンラインセミナーを開催、サイバー攻撃対策とI...
Ｓｋｙ株式会社は2025年3月にSKYSEA Client Viewのオンラインセミナーを開催する。WSUSの廃止や巧妙化するサイバー攻撃への対策、Windows 11のアップデート管理など、情報システム担当者向けの実践的な内容を提供。特にサプライチェーンセキュリティの強化や情報漏洩対策について、具体的な活用事例を交えながら解説する予定だ。
Ｓｋｙ社がSKYSEA Client Viewのオンラインセミナーを開催、サイバー攻撃対策とI...
Ｓｋｙ株式会社は2025年3月にSKYSEA Client Viewのオンラインセミナーを開催する。WSUSの廃止や巧妙化するサイバー攻撃への対策、Windows 11のアップデート管理など、情報システム担当者向けの実践的な内容を提供。特にサプライチェーンセキュリティの強化や情報漏洩対策について、具体的な活用事例を交えながら解説する予定だ。
【CVE-2024-1374】Real Estate Property Management ...
code-projects社のReal Estate Property Management System 1.0において、検索機能に重大な脆弱性が発見された。search.phpファイルのパラメータにSQL injectionの脆弱性が存在し、リモートからの攻撃が可能な状態となっている。CVSSスコアは中程度だが、既に攻撃コードが公開されており、早急な対策が必要とされている。
【CVE-2024-1374】Real Estate Property Management ...
code-projects社のReal Estate Property Management System 1.0において、検索機能に重大な脆弱性が発見された。search.phpファイルのパラメータにSQL injectionの脆弱性が存在し、リモートからの攻撃が可能な状態となっている。CVSSスコアは中程度だが、既に攻撃コードが公開されており、早急な対策が必要とされている。
【CVE-2025-1356】needyamin Library Card System 1....
セキュリティ研究者により、needyamin Library Card System 1.0のcard.phpファイルにSQLインジェクションの脆弱性が発見された。CVSSスコア5.3（MEDIUM）と評価される本脆弱性は、id引数の操作によりリモートからの攻撃が可能で、利用者情報の漏洩やシステムの改ざんのリスクが指摘されている。開発元は現時点で対応を行っておらず、早急な対策が求められる状況だ。
【CVE-2025-1356】needyamin Library Card System 1....
セキュリティ研究者により、needyamin Library Card System 1.0のcard.phpファイルにSQLインジェクションの脆弱性が発見された。CVSSスコア5.3（MEDIUM）と評価される本脆弱性は、id引数の操作によりリモートからの攻撃が可能で、利用者情報の漏洩やシステムの改ざんのリスクが指摘されている。開発元は現時点で対応を行っておらず、早急な対策が求められる状況だ。
【CVE-2025-1183】CodeZips Gym Management System 1...
CodeZips社のGym Management System 1.0において、/dashboard/admin/more-userprofile.phpファイルのlogin_id引数にSQLインジェクションの脆弱性が発見された。CVSSスコアは最大6.3（ミディアム）で、リモートからの攻撃が可能な状態。既に攻撃コードが公開されており、早急な対応が必要とされている。システム管理者はセキュリティパッチの適用やWAFによる防御措置の実施を検討すべき状況だ。
【CVE-2025-1183】CodeZips Gym Management System 1...
CodeZips社のGym Management System 1.0において、/dashboard/admin/more-userprofile.phpファイルのlogin_id引数にSQLインジェクションの脆弱性が発見された。CVSSスコアは最大6.3（ミディアム）で、リモートからの攻撃が可能な状態。既に攻撃コードが公開されており、早急な対応が必要とされている。システム管理者はセキュリティパッチの適用やWAFによる防御措置の実施を検討すべき状況だ。
【CVE-2025-1135】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、BatchWinnerEntry機能のCurrentFundraiserパラメータにSQLインジェクションの脆弱性が発見された。CVSSスコア9.3のCritical評価で、管理者権限を持つ攻撃者によるデータベースの抽出・改変・削除が可能となる。時間ベースおよびブーリアンベースのブラインドSQLインジェクションとして確認されており、早急な対応が必要とされている。
【CVE-2025-1135】ChurchCRM 5.13.0にSQLインジェクションの脆弱性...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、BatchWinnerEntry機能のCurrentFundraiserパラメータにSQLインジェクションの脆弱性が発見された。CVSSスコア9.3のCritical評価で、管理者権限を持つ攻撃者によるデータベースの抽出・改変・削除が可能となる。時間ベースおよびブーリアンベースのブラインドSQLインジェクションとして確認されており、早急な対応が必要とされている。
【CVE-2025-0981】ChurchCRM 5.13.0にストアドXSS脆弱性が発見、セ...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、グループエディタページの説明フィールドにストアドXSS脆弱性が発見された。管理者権限を持つ攻撃者が悪意のあるJavaScriptを挿入することで、認証済みユーザーのセッション情報を外部に送信可能。CVSSスコア8.4のHigh評価を受けており、情報漏洩やセッションハイジャックのリスクが指摘されている。
【CVE-2025-0981】ChurchCRM 5.13.0にストアドXSS脆弱性が発見、セ...
ChurchCRM 5.13.0およびそれ以前のバージョンにおいて、グループエディタページの説明フィールドにストアドXSS脆弱性が発見された。管理者権限を持つ攻撃者が悪意のあるJavaScriptを挿入することで、認証済みユーザーのセッション情報を外部に送信可能。CVSSスコア8.4のHigh評価を受けており、情報漏洩やセッションハイジャックのリスクが指摘されている。
【CVE-2025-0874】Simple Plugins Car Rental Manage...
code-projects社のSimple Plugins Car Rental Management 1.0において、approve.phpファイルのid引数処理に関するSQLインジェクションの脆弱性が発見された。CVSSスコアは中程度だが遠隔からの攻撃が可能で、既に公開されている状態のため早急な対応が必要。CWE-89およびCWE-74に分類されるこの脆弱性は、データベースの不正操作や情報漏洩のリスクを引き起こす可能性がある。
【CVE-2025-0874】Simple Plugins Car Rental Manage...
code-projects社のSimple Plugins Car Rental Management 1.0において、approve.phpファイルのid引数処理に関するSQLインジェクションの脆弱性が発見された。CVSSスコアは中程度だが遠隔からの攻撃が可能で、既に公開されている状態のため早急な対応が必要。CWE-89およびCWE-74に分類されるこの脆弱性は、データベースの不正操作や情報漏洩のリスクを引き起こす可能性がある。
【CVE-2025-0822】Bit Assistプラグインにパストラバーサルの脆弱性、認証済...
WordPressのチャットウィジェットプラグイン「Bit Assist」にパストラバーサル脆弱性が発見された。バージョン1.5.2以前のすべてのバージョンが影響を受け、認証済みのSubscriber以上の権限を持つユーザーがサーバー上の任意のファイルを読み取ることが可能となっている。CVSSスコアは6.5（MEDIUM）で、機密情報漏洩のリスクが指摘されている。
【CVE-2025-0822】Bit Assistプラグインにパストラバーサルの脆弱性、認証済...
WordPressのチャットウィジェットプラグイン「Bit Assist」にパストラバーサル脆弱性が発見された。バージョン1.5.2以前のすべてのバージョンが影響を受け、認証済みのSubscriber以上の権限を持つユーザーがサーバー上の任意のファイルを読み取ることが可能となっている。CVSSスコアは6.5（MEDIUM）で、機密情報漏洩のリスクが指摘されている。
【CVE-2025-0661】DethemeKit For Elementor 2.1.8以前...
WordPressプラグインDethemeKit For Elementorにおいて、バージョン2.1.8以前のすべてのバージョンで情報漏洩の脆弱性が発見された。Contributor以上の権限を持つユーザーが投稿複製機能を悪用することで、パスワード保護記事や非公開記事、下書き、予約投稿などの本来アクセスできない記事内容を取得可能となっている。CVSSスコア4.3の中程度の深刻度と評価されている。
【CVE-2025-0661】DethemeKit For Elementor 2.1.8以前...
WordPressプラグインDethemeKit For Elementorにおいて、バージョン2.1.8以前のすべてのバージョンで情報漏洩の脆弱性が発見された。Contributor以上の権限を持つユーザーが投稿複製機能を悪用することで、パスワード保護記事や非公開記事、下書き、予約投稿などの本来アクセスできない記事内容を取得可能となっている。CVSSスコア4.3の中程度の深刻度と評価されている。
【CVE-2025-0111】Palo Alto Networks PAN-OSに認証済みファ...
Palo Alto NetworksのPAN-OSソフトウェアに認証済みファイル読み取りの脆弱性が発見された。この脆弱性により、管理Webインターフェースにアクセス可能な認証済み攻撃者がPAN-OSファイルシステム上のファイルを読み取ることが可能となる。影響を受けるバージョンは10.1、10.2、11.1、11.2の特定バージョンで、Cloud NGFWとPrisma Accessは影響を受けない。早急なパッチ適用が推奨される。
【CVE-2025-0111】Palo Alto Networks PAN-OSに認証済みファ...
Palo Alto NetworksのPAN-OSソフトウェアに認証済みファイル読み取りの脆弱性が発見された。この脆弱性により、管理Webインターフェースにアクセス可能な認証済み攻撃者がPAN-OSファイルシステム上のファイルを読み取ることが可能となる。影響を受けるバージョンは10.1、10.2、11.1、11.2の特定バージョンで、Cloud NGFWとPrisma Accessは影響を受けない。早急なパッチ適用が推奨される。
【CVE-2024-13791】Bit Assistプラグインにパストラバーサルの脆弱性、管理...
WordPressプラグインのBit Assistにパストラバーサルの脆弱性が発見された。バージョン1.5.2以前のすべてのバージョンが影響を受け、管理者以上の権限を持つ攻撃者がサーバー上の任意のファイル内容を読み取ることが可能となる。CVSSスコアは4.9でMEDIUMレベルと評価され、重要情報漏洩のリスクが指摘されている。
【CVE-2024-13791】Bit Assistプラグインにパストラバーサルの脆弱性、管理...
WordPressプラグインのBit Assistにパストラバーサルの脆弱性が発見された。バージョン1.5.2以前のすべてのバージョンが影響を受け、管理者以上の権限を持つ攻撃者がサーバー上の任意のファイル内容を読み取ることが可能となる。CVSSスコアは4.9でMEDIUMレベルと評価され、重要情報漏洩のリスクが指摘されている。
【CVE-2024-13783】FormCraft 3.9.11に認証機能の欠陥、プラグインデ...
WordPressプラグインFormCraftにおいて、バージョン3.9.11以前に認証機能の欠陥が発見された。この脆弱性により、購読者レベル以上の権限を持つユーザーがプラグインデータを不正にエクスポート可能となっている。CVSS 3.1で中程度（4.3点）と評価され、フォーム送信データなどの機密情報漏洩のリスクが指摘されている。
【CVE-2024-13783】FormCraft 3.9.11に認証機能の欠陥、プラグインデ...
WordPressプラグインFormCraftにおいて、バージョン3.9.11以前に認証機能の欠陥が発見された。この脆弱性により、購読者レベル以上の権限を持つユーザーがプラグインデータを不正にエクスポート可能となっている。CVSS 3.1で中程度（4.3点）と評価され、フォーム送信データなどの機密情報漏洩のリスクが指摘されている。
【CVE-2024-13741】ProfileGrid 5.9.4.2にSSRF脆弱性、Sub...
WordPressプラグイン「ProfileGrid」のバージョン5.9.4.2以前に、サーバサイドリクエストフォージェリ（SSRF）の脆弱性が発見された。Subscriber以上の権限を持つユーザーが、pm_upload_image関数を悪用することで任意のURLへのリクエストが可能となり、画像のダウンロードや非画像ファイルの存在確認が実行可能な状態。CVSSスコアは5.4（MEDIUM）と評価されている。
【CVE-2024-13741】ProfileGrid 5.9.4.2にSSRF脆弱性、Sub...
WordPressプラグイン「ProfileGrid」のバージョン5.9.4.2以前に、サーバサイドリクエストフォージェリ（SSRF）の脆弱性が発見された。Subscriber以上の権限を持つユーザーが、pm_upload_image関数を悪用することで任意のURLへのリクエストが可能となり、画像のダウンロードや非画像ファイルの存在確認が実行可能な状態。CVSSスコアは5.4（MEDIUM）と評価されている。
【CVE-2024-13740】ProfileGrid 5.9.4.2以前のバージョンでプライ...
WordPressプラグイン「ProfileGrid - User Profiles, Groups and Communities」のバージョン5.9.4.2以前に、不適切な直接オブジェクト参照（IDOR）の脆弱性が発見された。Subscriber以上の権限を持つユーザーが他者のプライベートメッセージを閲覧可能な状態となっており、情報漏洩のリスクが指摘されている。CVSSスコアは4.3（MEDIUM）と評価され、早急な対応が求められている。
【CVE-2024-13740】ProfileGrid 5.9.4.2以前のバージョンでプライ...
WordPressプラグイン「ProfileGrid - User Profiles, Groups and Communities」のバージョン5.9.4.2以前に、不適切な直接オブジェクト参照（IDOR）の脆弱性が発見された。Subscriber以上の権限を持つユーザーが他者のプライベートメッセージを閲覧可能な状態となっており、情報漏洩のリスクが指摘されている。CVSSスコアは4.3（MEDIUM）と評価され、早急な対応が求められている。
【CVE-2024-13681】WordPressテーマUncode2.9.1.6以前に深刻な...
WordPressテーマのUncodeにおいて、バージョン2.9.1.6以前に任意のファイル読み取りを可能にする重大な脆弱性が発見された。この脆弱性はCVE-2024-13681として識別され、CVSSスコア7.5の高リスク評価となっている。未認証の攻撃者がサーバー上の任意のファイルを読み取ることが可能となるため、影響を受けるバージョンを使用しているサイト管理者は直ちにアップデートを実施することが推奨される。
【CVE-2024-13681】WordPressテーマUncode2.9.1.6以前に深刻な...
WordPressテーマのUncodeにおいて、バージョン2.9.1.6以前に任意のファイル読み取りを可能にする重大な脆弱性が発見された。この脆弱性はCVE-2024-13681として識別され、CVSSスコア7.5の高リスク評価となっている。未認証の攻撃者がサーバー上の任意のファイルを読み取ることが可能となるため、影響を受けるバージョンを使用しているサイト管理者は直ちにアップデートを実施することが推奨される。
【CVE-2024-13665】WordPressプラグインAdmire Extra 1.6に...
WordPressプラグインAdmire Extraのバージョン1.6以下において、spaceショートコードの入力検証不備により格納型XSS脆弱性が発見された。CVSS評価6.4の中程度の脆弱性で、Contributor以上の権限を持つ攻撃者が任意のスクリプトを注入可能。当該ページにアクセスした他のユーザーの環境でスクリプトが実行される可能性があり、早急なアップデートが推奨される。
【CVE-2024-13665】WordPressプラグインAdmire Extra 1.6に...
WordPressプラグインAdmire Extraのバージョン1.6以下において、spaceショートコードの入力検証不備により格納型XSS脆弱性が発見された。CVSS評価6.4の中程度の脆弱性で、Contributor以上の権限を持つ攻撃者が任意のスクリプトを注入可能。当該ページにアクセスした他のユーザーの環境でスクリプトが実行される可能性があり、早急なアップデートが推奨される。
【CVE-2024-13600】Majestic Supportプラグインに重大な情報漏洩の脆...
WordPressプラグイン「Majestic Support」のバージョン1.0.5以前に、認証なしで機密情報にアクセスできる重大な脆弱性が発見された。CVSSスコア7.5（High）と評価されたこの脆弱性により、サポートチケットの添付ファイルが第三者に閲覧可能な状態となっている。脆弱性は「majesticsupportdata」ディレクトリの保護が不十分であることに起因しており、早急な対応が必要とされている。
【CVE-2024-13600】Majestic Supportプラグインに重大な情報漏洩の脆...
WordPressプラグイン「Majestic Support」のバージョン1.0.5以前に、認証なしで機密情報にアクセスできる重大な脆弱性が発見された。CVSSスコア7.5（High）と評価されたこの脆弱性により、サポートチケットの添付ファイルが第三者に閲覧可能な状態となっている。脆弱性は「majesticsupportdata」ディレクトリの保護が不十分であることに起因しており、早急な対応が必要とされている。
【CVE-2024-13554】WP Extended 3.0.13に認証機能の不備、未認証攻...
WordPressプラグイン「The Ultimate WordPress Toolkit - WP Extended」のバージョン3.0.13以前に重大な脆弱性が発見された。reorder_route()関数における認証チェックの欠如により、未認証の攻撃者が投稿順序を操作可能となっている。CVSS v3.1で5.3のミディアムレベルと評価され、早急な対応が必要とされている。
【CVE-2024-13554】WP Extended 3.0.13に認証機能の不備、未認証攻...
WordPressプラグイン「The Ultimate WordPress Toolkit - WP Extended」のバージョン3.0.13以前に重大な脆弱性が発見された。reorder_route()関数における認証チェックの欠如により、未認証の攻撃者が投稿順序を操作可能となっている。CVSS v3.1で5.3のミディアムレベルと評価され、早急な対応が必要とされている。