使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者は管理者権限の認証クッキーを取得できるため、サイト全体を自由に操作できるようになります。

自分は対象？

• 影響を受けるバージョンは 0.1.4.1 までのすべてのバージョンです（0 を含む上限は 0.1.4.1）。

• 攻撃には、Subscriber 権限以上の認証済みユーザーが必要です。

ほか4項目は詳細ページへ

対象の版

InstaWP Connect – 1-click WP Staging & Migration：0.1.4.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルが削除され、たとえば wp-config.php を削除するとサーバー上で攻撃者のコードが実行される可能性がある。

自分は対象？

• バージョン 4.9.3 以下のすべてのリリースが影響を受ける。

• 認証済みで Sales Representative 以上の権限を持つユーザーが攻撃可能である。

ほか2項目は詳細ページへ

対象の版

Groundhogg — CRM, Newsletters, and Marketing Automation：4.9.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

実行可能なファイルをアップロードできるため、リモートコード実行が可能になる恐れがあります。

自分は対象？

• バージョン2.4.4以下のMang Boardプラグインが影響を受けます。

• 認証されていない攻撃者がこの脆弱性を利用できます。

ほか3項目は詳細ページへ

対象の版

Mang Board：2.4.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証済みの攻撃者が管理画面の HTML からサードパーティサービスの API 資格情報を取得でき、さらにその資格情報を任意に書き換えることができるため、情報漏洩と設定改ざんのリスクがあります。

自分は対象？

• Image Hub プラグインのバージョンが 1.2.0 以下（1.2.0 を含む）であること。

• 攻撃者が認証済みで、Subscriber レベル以上の権限を持っていること。

ほか6項目は詳細ページへ

対象の版

Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy：1.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が順番に増える注文 ID を送信するだけで、WooCommerce の任意の注文に対する請求情報（氏名、住所、メールアドレス、電話番号）を取得できる可能性があります。

自分は対象？

• この欠陥は、バージョン 3.16.0.6 を含むそれ以前のすべての FunnelKit – Funnel Builder Plugin for WooCommerce Checkout に影響します。

• なお、サイトに FunnelKit のサンキューページが存在し、[wfty_order_meta] または [wfty_order_total] ショートコードが表示されている場合にのみ悪用可能です。

ほか1項目は詳細ページへ

対象の版

FunnelKit – Funnel Builder Plugin for WooCommerce Checkout：3.16.0.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、公開されているすべてのギャラリーのパスワード保護用パスワードとユーザー名を平文で取得できる可能性があります。

自分は対象？

• WordPress 用プラグイン「Modula Image Gallery – Photo Grid & Video Gallery」のバージョン 3.0.11 までが影響を受けます。

• REST API の /wp‑json/wp/v2/modula-gallery/{id}（またはコレクションルート）で、modulaSettings フィールドが認可チェックなしで公開されます。

ほか1項目は詳細ページへ

対象の版

Modula Image Gallery – Photo Grid & Video Gallery：3.0.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は管理者アカウント（ユーザー ID 1）の認証情報を書き換え、wp‑admin へのフルアクセス権を取得できる。

自分は対象？

• My Calendar – Accessible Event Manager プラグインのバージョン 3.8.7 以下（3.8.7 を含む）すべてが影響を受ける。

• プラグインが有効化されると、自動生成される `/my-calendar/` ページがデフォルトで公開され、誰でもアクセスできる。

ほか7項目は詳細ページへ

対象の版

My Calendar – Accessible Event Manager：3.4.24以下My Calendar – Accessible Event Manager：>= 3.5 / <= 3.5.21My Calendar – Accessible Event Manager：>= 3.6 / <= 3.6.17My Calendar – Accessible Event Manager：>= 3.7 / <= 3.7.17My Calendar – Accessible Event Manager：>= 3.8 / <= 3.8.7

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

任意のショートコードが実行される可能性がある。

自分は対象？

• WordPress にインストールされた Forminator Forms プラグインのバージョンが 1.58.1 以下であること。

• ブロックテーマが使用されている WordPress 環境であること。

ほか4項目は詳細ページへ

対象の版

Forminator Forms – Contact Form, Payment Form & Custom Form Builder：1.58.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が正しい認証情報を持たなくても、任意の WordPress ユーザー（管理者を含む）としてログインできる可能性があります。

自分は対象？

• 対象プラグインのバージョンが 5.5.8 以下であること。

• サイトが OTP のみログインを有効にしていること（`wp_login_skip_password=1`、`wp_login_skip_password_fallback=0`）。

ほか4項目は詳細ページへ

対象の版

miniOrange OTP Login, Verification and SMS Notifications：5.5.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が他の顧客の請求先・配送先住所などの個人情報を読み取り、外部に漏洩させる可能性があります。

自分は対象？

• 対象は WordPress 用 FluentCart プラグインのバージョン 1.7.0 以下すべてです。

• 攻撃者は認証されていない状態で操作できます。

ほか5項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトをページに埋め込めるため、ユーザーがリンクをクリックすると不正な処理が実行されます。

自分は対象？

• WordPress 用プラグイン Gwolle Guestbook のバージョン 5.1.1 以下すべてが影響を受けます。

• 公式の対象表：mpol / Gwolle Guestbook。影響ありとして記載：5.1.1以下の版。

対象の版

Gwolle Guestbook：5.1.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のショートコードが実行されることで、サイト上に不正なコンテンツが挿入されたり、他のプラグインやテーマが提供する情報が漏洩したりする可能性があります。

自分は対象？

• Forminator Forms プラグインのバージョンが 1.58.1 以下であること。

• クイズ機能を使用し、通知テンプレートに {quiz_result} マージタグが含まれていること。

ほか5項目は詳細ページへ

対象の版

Forminator Forms – Contact Form, Payment Form & Custom Form Builder：1.58.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が埋め込んだ任意のウェブスクリプトが、ページを閲覧したユーザーのブラウザーで実行されます。

自分は対象？

• 対象プラグインのバージョンが 7.5.5 以下であること。

• WordPress 環境で yotu-wp Cookie-Blocker フィルタが有効になっていること。

ほか5項目は詳細ページへ

対象の版

Complianz GDPR/CCPA Cookie Consent Banner：7.5.5以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がデータベースの権限で任意のデータを書き換え、default_role を administrator に変更しオープンユーザー登録を有効にできるため、以後登録されるアカウントが自動的に管理者権限を取得し、サイト全体が乗っ取られる可能性があります。

自分は対象？

• Backuply – Backup, Restore, Migrate and Clone プラグインのすべてのバージョン（1.5.8 以下）が影響を受けます。

• 攻撃者はサブスクライバー以上の認証済みユーザーである必要があります。

ほか7項目は詳細ページへ

対象の版

Backuply – Backup, Restore, Migrate and Clone：1.5.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトをページに埋め込めるため、ページを閲覧したユーザーのブラウザーで不正な処理が実行されます。

自分は対象？

• 認証済みの攻撃者が Contributor レベル以上の権限を持っている場合に、'icon_light' ショートコード属性を利用してスクリプトを注入できます。

• 公式の対象表：wppool / Dark Mode – Improve Accessibility with AI Powered Dark Theme。影響ありとして記載：5.3.17以下の版。

対象の版

Dark Mode – Improve Accessibility with AI Powered Dark Theme：5.3.17以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が顧客のパスワードを変更できるため、顧客としてログインでき、限定的なアカウント乗っ取りが起こる可能性がある。

自分は対象？

• 対象プラグインは WordPress 用の Dokan: AI Powered WooCommerce Multivendor Marketplace Solution である。

• バージョンは 5.2.1 以下すべてが影響を受ける（5.2.1 を含む）。

ほか4項目は詳細ページへ

対象の版

Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy：5.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

埋め込まれたスクリプトがページを表示した人のブラウザーで実行され、閲覧者のブラウザー上で不正な処理が行われる可能性があります。

自分は対象？

• 対象プラグイン：Cooked – Recipe Management（WordPress 用）

• 影響を受けるバージョン：1.16.1 以下のすべてのバージョン

ほか3項目は詳細ページへ

対象の版

Cooked – Recipe Management：1.16.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが該当ページを閲覧した際に、攻撃者が埋め込んだ不正なスクリプトが実行される可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の "Flying Scripts: Delay JavaScript to Improve Site Speed & Performance" です。

• バージョン 1.2.4 以下のすべてのリリースが影響を受けます。

ほか6項目は詳細ページへ

対象の版

Flying Scripts: Delay JavaScript to Improve Site Speed & Performance：1.2.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトを注入でき、ページを閲覧したユーザーのブラウザーでそのスクリプトが実行される可能性がある。

自分は対象？

• 影響を受けるバージョンは 5.2.11 までのすべてのバージョンである。

• 認証されていない攻撃者でもこの脆弱性を利用できる。

ほか3項目は詳細ページへ

対象の版

RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator：5.2.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が保存したスクリプトが、ページを表示した人のブラウザーで不正に実行されます。

自分は対象？

• Colibri Page Builder プラグインのバージョン 1.0.390 以下はすべて影響を受けます。

• 認証されていない攻撃者がコメントパラメータを通じてスクリプトを注入できます。

ほか4項目は詳細ページへ

対象の版

Colibri Page Builder：1.0.390以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。