Tech Insights
【CVE-2024-10750】Tenda i22にnull pointer derefere...
Tenda i22 1.0.0.3(4687)のwebsReadEvent機能において、Content-Length引数の操作によるnull pointer dereferenceの脆弱性が発見された。この脆弱性はリモートから攻撃可能で、CVSS v4.0で7.1（HIGH）のスコアが付けられている。攻撃の難易度は低く、認証情報があれば容易に実行可能であり、システムの可用性に重大な影響を及ぼす可能性が高い。
【CVE-2024-10750】Tenda i22にnull pointer derefere...
Tenda i22 1.0.0.3(4687)のwebsReadEvent機能において、Content-Length引数の操作によるnull pointer dereferenceの脆弱性が発見された。この脆弱性はリモートから攻撃可能で、CVSS v4.0で7.1（HIGH）のスコアが付けられている。攻撃の難易度は低く、認証情報があれば容易に実行可能であり、システムの可用性に重大な影響を及ぼす可能性が高い。
【CVE-2024-10711】WooCommerce Report 1.5.1以前のバージョ...
WordfenceはWooCommerce Report 1.5.1以前のバージョンにおいて、設定更新機能に関するCross-Site Request Forgery脆弱性を発見した。CVSSスコア8.8のHigh評価で、攻撃者は管理者を騙して任意のオプション設定を更新できる可能性がある。これにより特権昇格のリスクが指摘されており、早急なアップデートが推奨されている。
【CVE-2024-10711】WooCommerce Report 1.5.1以前のバージョ...
WordfenceはWooCommerce Report 1.5.1以前のバージョンにおいて、設定更新機能に関するCross-Site Request Forgery脆弱性を発見した。CVSSスコア8.8のHigh評価で、攻撃者は管理者を騙して任意のオプション設定を更新できる可能性がある。これにより特権昇格のリスクが指摘されており、早急なアップデートが推奨されている。
【CVE-2024-10228】HashiCorpがVagrant VMWare Utilit...
HashiCorpは2024年10月29日、Vagrant VMWare Utilityの重要なセキュリティアップデートを公開した。Windows環境において未権限ユーザーによるファイルシステムの改変が可能となる脆弱性が発見され、この問題はCVE-2024-10228として識別された。インストーラーが保護されていないパスをカスタムロケーションとして指定していたことが原因で、Vagrant VMWare Utility 1.0.23で修正されている。
【CVE-2024-10228】HashiCorpがVagrant VMWare Utilit...
HashiCorpは2024年10月29日、Vagrant VMWare Utilityの重要なセキュリティアップデートを公開した。Windows環境において未権限ユーザーによるファイルシステムの改変が可能となる脆弱性が発見され、この問題はCVE-2024-10228として識別された。インストーラーが保護されていないパスをカスタムロケーションとして指定していたことが原因で、Vagrant VMWare Utility 1.0.23で修正されている。
【CVE-2024-10122】Topdata Inner Rep Plus WebServe...
Topdata社のInner Rep Plus WebServer 2.01において、InnerRepPlus.htmlファイルのOperator Details Formコンポーネントにパスワードフィールドマスキングが実装されていない脆弱性が発見された。この脆弱性はCVE-2024-10122として識別され、CVSSスコアでは中程度の深刻度と評価されている。リモートからの攻撃が可能であり、高度な権限を持つ攻撃者による悪用のリスクが存在する。
【CVE-2024-10122】Topdata Inner Rep Plus WebServe...
Topdata社のInner Rep Plus WebServer 2.01において、InnerRepPlus.htmlファイルのOperator Details Formコンポーネントにパスワードフィールドマスキングが実装されていない脆弱性が発見された。この脆弱性はCVE-2024-10122として識別され、CVSSスコアでは中程度の深刻度と評価されている。リモートからの攻撃が可能であり、高度な権限を持つ攻撃者による悪用のリスクが存在する。
MicrosoftのFlatcar Container LinuxがCNCFインキュベーション...
MicrosoftはCloud Native Computing Foundation（CNCF）のTechnical Oversight Committeeが、同社が2021年に買収したFlatcar Container Linuxをインキュベーションレベルのプロジェクトとして採択したことを発表した。CNCFが初めてオペレーティングシステムディストリビューションを採用する画期的な出来事となり、コンテナワークロード向けの軽量LinuxディストリビューションとしてFlatcarの重要性が認められた。
MicrosoftのFlatcar Container LinuxがCNCFインキュベーション...
MicrosoftはCloud Native Computing Foundation（CNCF）のTechnical Oversight Committeeが、同社が2021年に買収したFlatcar Container Linuxをインキュベーションレベルのプロジェクトとして採択したことを発表した。CNCFが初めてオペレーティングシステムディストリビューションを採用する画期的な出来事となり、コンテナワークロード向けの軽量LinuxディストリビューションとしてFlatcarの重要性が認められた。
SpecteeがShutterstockと事業提携、UGC動画コンテンツのグローバル配信体制が強化
防災テックスタートアップのSpecteeは、世界最大級のデジタルコンテンツプラットフォームを運営するShutterstockと事業提携を締結した。AI技術を活用したコンテンツ・キュレーションにより、自然災害や気象現象、政治的な抗議活動などのUGCを世界規模で収集・解析し、Shutterstockのエディトリアル・プラットフォームを通じて効率的に提供することが可能になる。
SpecteeがShutterstockと事業提携、UGC動画コンテンツのグローバル配信体制が強化
防災テックスタートアップのSpecteeは、世界最大級のデジタルコンテンツプラットフォームを運営するShutterstockと事業提携を締結した。AI技術を活用したコンテンツ・キュレーションにより、自然災害や気象現象、政治的な抗議活動などのUGCを世界規模で収集・解析し、Shutterstockのエディトリアル・プラットフォームを通じて効率的に提供することが可能になる。
MITテクノロジーレビューのInnovators Under 35 Japan 2024にai...
MITテクノロジーレビューが主催する国際アワード「Innovators Under 35 Japan 2024」において、aiESG取締役兼チーフリサーチャーのキーリーアレクサンダー竜太が選出された。世界的な課題解決に取り組む35歳未満のイノベーターを発掘する本アワードは、8分野200件超の候補者から厳正な審査を経て10人が選出され、11月20日には東京・日本橋ホールでサミットが開催される予定だ。
MITテクノロジーレビューのInnovators Under 35 Japan 2024にai...
MITテクノロジーレビューが主催する国際アワード「Innovators Under 35 Japan 2024」において、aiESG取締役兼チーフリサーチャーのキーリーアレクサンダー竜太が選出された。世界的な課題解決に取り組む35歳未満のイノベーターを発掘する本アワードは、8分野200件超の候補者から厳正な審査を経て10人が選出され、11月20日には東京・日本橋ホールでサミットが開催される予定だ。
【CVE-2024-9883】WordPressプラグインPods 3.2.7.1未満にXSS...
WPScanがWordPressプラグインPodsのバージョン3.2.7.1未満において、Stored XSS脆弱性を発見した。この脆弱性は設定項目の不適切なサニタイズとエスケープに起因し、管理者権限を持つユーザーによる攻撃が可能となる。CVSSスコアは4.8でMedium（中程度）に分類され、マルチサイト環境でも攻撃が成立する可能性がある。
【CVE-2024-9883】WordPressプラグインPods 3.2.7.1未満にXSS...
WPScanがWordPressプラグインPodsのバージョン3.2.7.1未満において、Stored XSS脆弱性を発見した。この脆弱性は設定項目の不適切なサニタイズとエスケープに起因し、管理者権限を持つユーザーによる攻撃が可能となる。CVSSスコアは4.8でMedium（中程度）に分類され、マルチサイト環境でも攻撃が成立する可能性がある。
【CVE-2024-9846】Enable Shortcodesプラグインに認証不要な任意コー...
WordPressプラグインEnable Shortcodes inside Widgets,Comments and Expertsのバージョン1.0.0以前において、認証不要で任意のショートコードを実行可能な脆弱性が発見された。CVSSスコア7.3のハイリスク脆弱性として報告されており、攻撃の複雑性は低く特権も不要とされている。機密性と整合性、可用性のすべてに影響があるため、早急な対応が必要だ。
【CVE-2024-9846】Enable Shortcodesプラグインに認証不要な任意コー...
WordPressプラグインEnable Shortcodes inside Widgets,Comments and Expertsのバージョン1.0.0以前において、認証不要で任意のショートコードを実行可能な脆弱性が発見された。CVSSスコア7.3のハイリスク脆弱性として報告されており、攻撃の複雑性は低く特権も不要とされている。機密性と整合性、可用性のすべてに影響があるため、早急な対応が必要だ。
【CVE-2024-9689】WordPressプラグインPost From Frontend...
WordPressプラグインPost From Frontend 1.0.0以前にCSRF脆弱性が発見され、CVE-2024-9689として報告された。WPScanによって発見されたこの脆弱性は、投稿削除機能にCSRFチェックが実装されていないことが原因で、管理者権限を持つユーザーが意図せず投稿を削除してしまう可能性がある。CVSSスコアは4.8でMedium（中程度）の深刻度に分類されている。
【CVE-2024-9689】WordPressプラグインPost From Frontend...
WordPressプラグインPost From Frontend 1.0.0以前にCSRF脆弱性が発見され、CVE-2024-9689として報告された。WPScanによって発見されたこの脆弱性は、投稿削除機能にCSRFチェックが実装されていないことが原因で、管理者権限を持つユーザーが意図せず投稿を削除してしまう可能性がある。CVSSスコアは4.8でMedium（中程度）の深刻度に分類されている。
【CVE-2024-9686】Order Notification for Telegram ...
WordPressプラグインのOrder Notification for Telegramにおいて、バージョン1.0.1以前に重大な認証機能の不備が発見された。CVE-2024-9686として識別されたこの脆弱性により、未認証の攻撃者がTelegram Bot APIを介してテストメッセージを送信可能な状態となっている。CVSSスコアは5.3で中程度の深刻度とされ、早急な対応が推奨される。
【CVE-2024-9686】Order Notification for Telegram ...
WordPressプラグインのOrder Notification for Telegramにおいて、バージョン1.0.1以前に重大な認証機能の不備が発見された。CVE-2024-9686として識別されたこの脆弱性により、未認証の攻撃者がTelegram Bot APIを介してテストメッセージを送信可能な状態となっている。CVSSスコアは5.3で中程度の深刻度とされ、早急な対応が推奨される。
【CVE-2024-9488】wpDiscuz 7.6.24に認証バイパスの脆弱性、管理者権限...
WordPressプラグインのwpDiscuz 7.6.24以前のバージョンに、認証バイパスの重大な脆弱性が発見された。ソーシャルログインのトークン検証が不十分であり、攻撃者は既存ユーザーのメールアドレスを使用して管理者権限でのログインが可能となる。CVSSスコアは9.8と深刻度が非常に高く、早急なアップデートが推奨される。
【CVE-2024-9488】wpDiscuz 7.6.24に認証バイパスの脆弱性、管理者権限...
WordPressプラグインのwpDiscuz 7.6.24以前のバージョンに、認証バイパスの重大な脆弱性が発見された。ソーシャルログインのトークン検証が不十分であり、攻撃者は既存ユーザーのメールアドレスを使用して管理者権限でのログインが可能となる。CVSSスコアは9.8と深刻度が非常に高く、早急なアップデートが推奨される。
【CVE-2024-9147】Bna InformaticsのPosPratikにXSS脆弱性...
TR-CERTは2024年11月4日、Bna InformaticsのPosPratikにHTMLインジェクションの脆弱性【CVE-2024-9147】が発見されたことを公開した。v3.2.1未満のバージョンでは、HTTPクエリ文字列を介してXSS攻撃が可能となる脆弱性が確認されており、CVSSスコアは6.9（Medium）と評価されている。この脆弱性はCWE-80に分類され、既存の技術での悪用は困難だが、自動化された攻撃が可能とされている。
【CVE-2024-9147】Bna InformaticsのPosPratikにXSS脆弱性...
TR-CERTは2024年11月4日、Bna InformaticsのPosPratikにHTMLインジェクションの脆弱性【CVE-2024-9147】が発見されたことを公開した。v3.2.1未満のバージョンでは、HTTPクエリ文字列を介してXSS攻撃が可能となる脆弱性が確認されており、CVSSスコアは6.9（Medium）と評価されている。この脆弱性はCWE-80に分類され、既存の技術での悪用は困難だが、自動化された攻撃が可能とされている。
【CVE-2024-9109】WooCommerce UPS Shipping 2.3.11以...
WordfenceはWooCommerce UPS Shipping – Live Rates and Access Pointsプラグインのバージョン2.3.11以前に認証バイパスの脆弱性が存在することを公開した。delete_oauth_data関数に適切な権限チェックが実装されていないため、Subscriber以上の権限を持つユーザーがAPIキーを削除可能となっている。CVSSスコアは4.3（MEDIUM）で、攻撃の実行は容易だが影響は限定的とされている。
【CVE-2024-9109】WooCommerce UPS Shipping 2.3.11以...
WordfenceはWooCommerce UPS Shipping – Live Rates and Access Pointsプラグインのバージョン2.3.11以前に認証バイパスの脆弱性が存在することを公開した。delete_oauth_data関数に適切な権限チェックが実装されていないため、Subscriber以上の権限を持つユーザーがAPIキーを削除可能となっている。CVSSスコアは4.3（MEDIUM）で、攻撃の実行は容易だが影響は限定的とされている。
【CVE-2024-8792】Subscribe to Comments 2.3に反射型XSS...
WordPressプラグインのSubscribe to Comments 2.3以前のバージョンにおいて、反射型クロスサイトスクリプティング脆弱性が発見された。CVSSスコアは6.1のMedium評価で、認証不要でURLパラメータを介した攻撃が可能となっている。ユーザーインタラクションは必要だが、攻撃成功時には重大な影響を及ぼす可能性があるため、早急な対策が必要だ。
【CVE-2024-8792】Subscribe to Comments 2.3に反射型XSS...
WordPressプラグインのSubscribe to Comments 2.3以前のバージョンにおいて、反射型クロスサイトスクリプティング脆弱性が発見された。CVSSスコアは6.1のMedium評価で、認証不要でURLパラメータを介した攻撃が可能となっている。ユーザーインタラクションは必要だが、攻撃成功時には重大な影響を及ぼす可能性があるため、早急な対策が必要だ。
【CVE-2024-7877】Appointment Booking Calendarプラグイ...
WordPressプラグインのAppointment Booking Calendarにおいて、バージョン1.6.7.55未満に重大な脆弱性が発見された。通知設定の不適切なサニタイズとエスケープにより、管理者権限を持つユーザーがクロスサイトスクリプティング攻撃を実行可能な状態となっている。CVSSスコアは4.8でMedium評価、早急なアップデートが推奨される。
【CVE-2024-7877】Appointment Booking Calendarプラグイ...
WordPressプラグインのAppointment Booking Calendarにおいて、バージョン1.6.7.55未満に重大な脆弱性が発見された。通知設定の不適切なサニタイズとエスケープにより、管理者権限を持つユーザーがクロスサイトスクリプティング攻撃を実行可能な状態となっている。CVSSスコアは4.8でMedium評価、早急なアップデートが推奨される。
【CVE-2024-7456】lunary-ai/lunaryにSQLインジェクションの脆弱性...
lunary-ai/lunaryバージョン1.4.2の/api/v1/external-usersルートでSQLインジェクションの脆弱性が発見された。order by句のSQL文でsql.unsafeを使用する際にサニタイズ処理が実装されておらず、CVSSスコア9.8のCRITICALに分類される重大な脆弱性として報告されている。データの完全な喪失や改変、破損などの深刻な被害をもたらす可能性があり、開発者は速やかなアップデートが推奨される。
【CVE-2024-7456】lunary-ai/lunaryにSQLインジェクションの脆弱性...
lunary-ai/lunaryバージョン1.4.2の/api/v1/external-usersルートでSQLインジェクションの脆弱性が発見された。order by句のSQL文でsql.unsafeを使用する際にサニタイズ処理が実装されておらず、CVSSスコア9.8のCRITICALに分類される重大な脆弱性として報告されている。データの完全な喪失や改変、破損などの深刻な被害をもたらす可能性があり、開発者は速やかなアップデートが推奨される。
【CVE-2024-5578】Table Of Contents Plus 2408以前のバー...
WordPressプラグインのTable Of Contents Plusにおいて、バージョン2408以前に深刻な脆弱性が発見された。設定項目の不適切なサニタイズにより、エディタ以上の権限を持つユーザーがクロスサイトスクリプティング攻撃を実行可能な状態となっている。CVSS3.1スコアは4.8で、高権限が必要だが攻撃の複雑さは低いとされている。
【CVE-2024-5578】Table Of Contents Plus 2408以前のバー...
WordPressプラグインのTable Of Contents Plusにおいて、バージョン2408以前に深刻な脆弱性が発見された。設定項目の不適切なサニタイズにより、エディタ以上の権限を持つユーザーがクロスサイトスクリプティング攻撃を実行可能な状態となっている。CVSS3.1スコアは4.8で、高権限が必要だが攻撃の複雑さは低いとされている。
【CVE-2024-51685】WordPressプラグインAccordion title f...
WordPressプラグインAccordion title for Elementorにおいて、クロスサイトスクリプティング（XSS）の脆弱性が発見された。CVE-2024-51685として識別されるこの脆弱性は、バージョン1.2.1以下に影響を与え、CVSSスコア5.9（Medium）と評価された。対策としてバージョン1.2.2がリリースされ、開発者は影響を受けるユーザーに対して最新バージョンへのアップデートを推奨している。
【CVE-2024-51685】WordPressプラグインAccordion title f...
WordPressプラグインAccordion title for Elementorにおいて、クロスサイトスクリプティング（XSS）の脆弱性が発見された。CVE-2024-51685として識別されるこの脆弱性は、バージョン1.2.1以下に影響を与え、CVSSスコア5.9（Medium）と評価された。対策としてバージョン1.2.2がリリースされ、開発者は影響を受けるユーザーに対して最新バージョンへのアップデートを推奨している。
【CVE-2024-51431】LB-LINK BL-WR 1300H v.1.0.4にハード...
LB-LINK BL-WR 1300H v.1.0.4において、/etc/shadowファイルにハードコード化された認証情報が容易に推測可能な状態で格納されている深刻な脆弱性が発見された。CISAによってCVSSスコア8.1のHIGHレベルと評価されており、自動化された攻撃が可能で特権も不要なため、早急な対応が求められている。CWE-798に分類されるこの脆弱性は、不正アクセスのリスクを著しく高める可能性がある。
【CVE-2024-51431】LB-LINK BL-WR 1300H v.1.0.4にハード...
LB-LINK BL-WR 1300H v.1.0.4において、/etc/shadowファイルにハードコード化された認証情報が容易に推測可能な状態で格納されている深刻な脆弱性が発見された。CISAによってCVSSスコア8.1のHIGHレベルと評価されており、自動化された攻撃が可能で特権も不要なため、早急な対応が求められている。CWE-798に分類されるこの脆弱性は、不正アクセスのリスクを著しく高める可能性がある。
【CVE-2024-51329】Agile-Board 1.0にHost header inj...
Agile-Board 1.0において、Host header injectionの脆弱性が発見された。CVE-2024-51329として識別されるこの脆弱性は、パスワードリセット機能を標的とし、攻撃者がリセットトークンを不正に取得可能。CVSSスコア8.1のハイリスクと評価され、ユーザー操作は必要だが特別な権限は不要である。認証システムの根幹に関わる部分への攻撃であり、早急な対応が求められている。
【CVE-2024-51329】Agile-Board 1.0にHost header inj...
Agile-Board 1.0において、Host header injectionの脆弱性が発見された。CVE-2024-51329として識別されるこの脆弱性は、パスワードリセット機能を標的とし、攻撃者がリセットトークンを不正に取得可能。CVSSスコア8.1のハイリスクと評価され、ユーザー操作は必要だが特別な権限は不要である。認証システムの根幹に関わる部分への攻撃であり、早急な対応が求められている。
【CVE-2024-51327】Travel Management System v1.0に認...
ProjectWorldsのTravel Management System v1.0において、loginform.phpのユーザー名とパスワードフィールドにSQLインジェクションの脆弱性が発見された。CVSSスコア9.8を記録する重大な脆弱性であり、リモートからの攻撃が可能で特権も不要とされている。CISAの評価では攻撃の自動化も可能とされ、早急な対策が必要な状況だ。
【CVE-2024-51327】Travel Management System v1.0に認...
ProjectWorldsのTravel Management System v1.0において、loginform.phpのユーザー名とパスワードフィールドにSQLインジェクションの脆弱性が発見された。CVSSスコア9.8を記録する重大な脆弱性であり、リモートからの攻撃が可能で特権も不要とされている。CISAの評価では攻撃の自動化も可能とされ、早急な対策が必要な状況だ。
【CVE-2024-51136】openimaj v1.3.10のDmoz2CSVでXXE脆弱...
MITREは2024年11月4日、openimaj v1.3.10のDmoz2CSVコンポーネントにXXE脆弱性が存在することを公開した。CVE-2024-51136として識別されるこの脆弱性は、CVSSスコア9.8のCRITICALに分類され、攻撃者が特権レベルやユーザーの操作なしで機密情報にアクセスできる可能性がある。CWE-91（XMLインジェクション）に分類され、早急な対策が必要とされている。
【CVE-2024-51136】openimaj v1.3.10のDmoz2CSVでXXE脆弱...
MITREは2024年11月4日、openimaj v1.3.10のDmoz2CSVコンポーネントにXXE脆弱性が存在することを公開した。CVE-2024-51136として識別されるこの脆弱性は、CVSSスコア9.8のCRITICALに分類され、攻撃者が特権レベルやユーザーの操作なしで機密情報にアクセスできる可能性がある。CWE-91（XMLインジェクション）に分類され、早急な対策が必要とされている。
【CVE-2024-51127】HornetQ v2.4.9にパストラバーサルの脆弱性、機密情...
HornetQ v2.4.9のcreateTempFileメソッドに重大な脆弱性が発見され、CVE-2024-51127として公開された。CVSSスコア9.1のCriticalレベルと評価されており、攻撃者による任意のファイル上書きや機密情報へのアクセスが可能となる。特別な権限や利用者の操作を必要とせず、ネットワークを介した攻撃が可能なため、早急な対策が求められている。
【CVE-2024-51127】HornetQ v2.4.9にパストラバーサルの脆弱性、機密情...
HornetQ v2.4.9のcreateTempFileメソッドに重大な脆弱性が発見され、CVE-2024-51127として公開された。CVSSスコア9.1のCriticalレベルと評価されており、攻撃者による任意のファイル上書きや機密情報へのアクセスが可能となる。特別な権限や利用者の操作を必要とせず、ネットワークを介した攻撃が可能なため、早急な対策が求められている。
【CVE-2024-49368】Nginx UIにおけるlogrotate設定の脆弱性が発見、...
Nginx UIの重大な脆弱性【CVE-2024-49368】が2024年10月21日に公開された。バージョン2.0.0-beta.36未満に影響を与えるこの脆弱性は、logrotate設定時の入力検証の不備により任意のコマンド実行を許可してしまう問題を引き起こす。CVSSスコア8.9のHIGH評価で、ネットワーク経由での攻撃が可能であり、早急な対応が求められている。
【CVE-2024-49368】Nginx UIにおけるlogrotate設定の脆弱性が発見、...
Nginx UIの重大な脆弱性【CVE-2024-49368】が2024年10月21日に公開された。バージョン2.0.0-beta.36未満に影響を与えるこの脆弱性は、logrotate設定時の入力検証の不備により任意のコマンド実行を許可してしまう問題を引き起こす。CVSSスコア8.9のHIGH評価で、ネットワーク経由での攻撃が可能であり、早急な対応が求められている。
【CVE-2024-49358】ZimaOS 1.2.4にユーザー名列挙の脆弱性、クレデンシャ...
IceWhaleTech社のZimaOS 1.2.4およびそれ以前のバージョンにおいて、ユーザー名列挙を可能にする脆弱性が発見された。この脆弱性は【CVE-2024-49358】として識別され、CVSSスコア5.3（MEDIUM）に分類されている。攻撃者はAPIエンドポイントのレスポンスの違いを利用してユーザー名を特定し、二次攻撃に悪用する可能性がある。現時点でパッチ適用済みバージョンは未リリースだ。
【CVE-2024-49358】ZimaOS 1.2.4にユーザー名列挙の脆弱性、クレデンシャ...
IceWhaleTech社のZimaOS 1.2.4およびそれ以前のバージョンにおいて、ユーザー名列挙を可能にする脆弱性が発見された。この脆弱性は【CVE-2024-49358】として識別され、CVSSスコア5.3（MEDIUM）に分類されている。攻撃者はAPIエンドポイントのレスポンスの違いを利用してユーザー名を特定し、二次攻撃に悪用する可能性がある。現時点でパッチ適用済みバージョンは未リリースだ。
【CVE-2024-49256】WordPress用Htaccess File Editor ...
WPChillが開発するWordPress用プラグインHtaccess File Editorにおいて、バージョン1.0.18以前に認可の問題による脆弱性が発見された。CVSSスコア5.4（MEDIUM）と評価されたこの脆弱性は、アクセス制御リストによる適切な制約が不十分であることが原因とされている。WPChillはセキュリティアップデートとしてバージョン1.0.19を提供しており、早急な対応が推奨される。
【CVE-2024-49256】WordPress用Htaccess File Editor ...
WPChillが開発するWordPress用プラグインHtaccess File Editorにおいて、バージョン1.0.18以前に認可の問題による脆弱性が発見された。CVSSスコア5.4（MEDIUM）と評価されたこの脆弱性は、アクセス制御リストによる適切な制約が不十分であることが原因とされている。WPChillはセキュリティアップデートとしてバージョン1.0.19を提供しており、早急な対応が推奨される。
【CVE-2024-49237】WordPressプラグインAhmeti Wp Timelin...
Patchstack OÜがWordPress用プラグインAhmeti Wp Timeline 5.1以前のバージョンに存在するCSRFからStoredXSSへの攻撃が可能な脆弱性を報告した。CVE-2024-49237として識別されるこの脆弱性は、CVSSスコア7.1（High）と評価され、攻撃者が認証なしで遠隔から攻撃を実行できる可能性がある。影響範囲は機密性、整合性、可用性のすべてに及ぶ。
【CVE-2024-49237】WordPressプラグインAhmeti Wp Timelin...
Patchstack OÜがWordPress用プラグインAhmeti Wp Timeline 5.1以前のバージョンに存在するCSRFからStoredXSSへの攻撃が可能な脆弱性を報告した。CVE-2024-49237として識別されるこの脆弱性は、CVSSスコア7.1（High）と評価され、攻撃者が認証なしで遠隔から攻撃を実行できる可能性がある。影響範囲は機密性、整合性、可用性のすべてに及ぶ。
【CVE-2024-49223】WordPress用CJ Change Howdy 3.3.1...
WordPress用プラグインCJ Change Howdy 3.3.1以前のバージョンにおいて、Cross-Site Request Forgery (CSRF)からStored XSSが可能となる重大な脆弱性が発見された。CVSS 7.1の高リスク評価を受けており、特別な権限なしで攻撃が可能。ユーザーの操作は必要だが、影響範囲が変更される可能性があり、早急な対応が求められている。
【CVE-2024-49223】WordPress用CJ Change Howdy 3.3.1...
WordPress用プラグインCJ Change Howdy 3.3.1以前のバージョンにおいて、Cross-Site Request Forgery (CSRF)からStored XSSが可能となる重大な脆弱性が発見された。CVSS 7.1の高リスク評価を受けており、特別な権限なしで攻撃が可能。ユーザーの操作は必要だが、影響範囲が変更される可能性があり、早急な対応が求められている。
【CVE-2024-49220】WordPress Cookie Scanner Plugin...
PatchstackがWordPress用プラグインCookie Scannerにおいて、CSRFを介したStored XSSの脆弱性を発見した。CVSSスコア7.1の高深刻度で、バージョン1.1以前が影響を受ける。攻撃者は特権不要でリモートから攻撃可能で、技術的影響は部分的だが、ユーザーの関与があれば攻撃が成立する可能性がある。
【CVE-2024-49220】WordPress Cookie Scanner Plugin...
PatchstackがWordPress用プラグインCookie Scannerにおいて、CSRFを介したStored XSSの脆弱性を発見した。CVSSスコア7.1の高深刻度で、バージョン1.1以前が影響を受ける。攻撃者は特権不要でリモートから攻撃可能で、技術的影響は部分的だが、ユーザーの関与があれば攻撃が成立する可能性がある。