使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者が任意のウェブスクリプトを注入でき、ページを閲覧したユーザーのブラウザーでそのスクリプトが実行される可能性がある。

自分は対象？

• 影響を受けるバージョンは 5.2.11 までのすべてのバージョンである。

• 認証されていない攻撃者でもこの脆弱性を利用できる。

ほか3項目は詳細ページへ

対象の版

RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator：5.2.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が保存したスクリプトが、ページを表示した人のブラウザーで不正に実行されます。

自分は対象？

• Colibri Page Builder プラグインのバージョン 1.0.390 以下はすべて影響を受けます。

• 認証されていない攻撃者がコメントパラメータを通じてスクリプトを注入できます。

ほか4項目は詳細ページへ

対象の版

Colibri Page Builder：1.0.390以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルを読み取られることで、機密情報が漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 1.3.0 以下（1.3.0 を含む）である場合に影響を受けます。

• サイト管理者が Optimize CSS 機能を有効にし、デフォルトの Inline Google Fonts オプションが有効になっている必要があります。

ほか3項目は詳細ページへ

対象の版

Debloat – Remove Unused CSS, Optimize JS：1.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、未確認の WordPress アカウント（管理者レベルを含む）としてログインできるようになる可能性があります。

自分は対象？

• 対象プラグインは Customer Email Verification for WooCommerce である。

• 影響を受けるバージョンは 3.3.0 以下（3.3.0 を含む）である。

ほか10項目は詳細ページへ

対象の版

Customer Email Verification for WooCommerce：3.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はデータベースに対して任意の SQL クエリを実行できるため、機密情報が漏洩する恐れがあります。

自分は対象？

• バージョン 1.7.0 まで（それを含む）のすべてのリリースが影響を受けます。

• 認証済みで custom‑level 以上の権限を持つ攻撃者がこの脆弱性を利用できます。

ほか2項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のショートコードを実行できるため、サーバー上の任意のデータを取得したり、サイトにインストールされている他のショートコードが提供する機能を悪用される可能性があります。

自分は対象？

• 未認証の攻撃者が Client-IP、X-Forwarded-For、Forwarded、X-Forwarded、Forwarded-For ヘッダーを操作できる。

• プラグインの ays_popup_get_user_ip() 関数がこれらヘッダーを sanitize_text_field() だけでサニタイズする。

ほか5項目は詳細ページへ

対象の版

Popup Box – Create Countdown, Coupon, Video, Contact Form Popups：>= 6.4.1 / <= 6.4.2

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

ページを表示した人のブラウザーで不正な処理が実行される可能性があります。

自分は対象？

• Motors – Car Dealership & Classified Listings Plugin のバージョン 1.4.124 以下すべてが影響を受けます。

• Subscriber 以上の権限を持つ認証済みユーザーが攻撃を実行できます。

ほか2項目は詳細ページへ

対象の版

Motors – Car Dealership & Classified Listings Plugin：1.4.124以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性が利用されると、サーバーや機器に攻撃者の命令を実行させられる（リモートコード実行）可能性があります。

自分は対象？

• 認証されていない攻撃者が対象となります。

• `get_page_template()` 関数がページテンプレートの解決に使用される必要があります。

ほか4項目は詳細ページへ

対象の版

WordPress：7.1.2未満

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

任意のユーザーの会員プランの詳細が外部に漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 3.1.2 未満であること。

• WordPress の REST API が有効化されていること。

ほか4項目は詳細ページへ

対象の版

Membership For WooCommerce：3.1.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この問題により、顧客の氏名や予約日時、予約のステータスといった機密情報が、権限の低い投稿者レベルのユーザーに漏洩する可能性があります。

自分は対象？

• 対象となるのは、Easy Appointmentsプラグインのバージョン3.12.28から4.0.1未満のすべてのリリースです。

• 影響を受けるのは、WordPressサイト上で「投稿者（contributor）以上」の権限を持つユーザーが、予約一覧を取得するRESTエンドポイントにアクセスした場合です。

ほか1項目は詳細ページへ

対象の版

Easy Appointments：3.12.28以上・4.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者のセッション内で不正なスクリプトが実行され、管理者が意図しない操作や情報漏洩が起こる可能性があります。

自分は対象？

• 対象製品は ProSolution WP Client プラグインで、バージョンが 2.0.11 未満のものです。

• 影響は管理者用ページの 'page' パラメータが HTML 属性にそのまま反映されるケースに限られます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ページを表示した人のブラウザーで不正なスクリプトが実行される可能性があります。

自分は対象？

• ProSolution WP Client のバージョンが 2.0.11 未満のすべてのインストールが影響を受けます。

• 影響を受けるのは、プラグインの公開ページを閲覧するすべての訪問者で、ログイン中の管理者も含まれます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

悪意あるJavaScriptがSVGを閲覧したユーザーのブラウザで実行され、ページ上で不正な操作が可能になる可能性があります。

自分は対象？

• JetEngineプラグインのバージョンが3.8.14未満であること。

• WordPressにJetEngineプラグインがインストールされていること。

ほか4項目は詳細ページへ

対象の版

JetEngine：3.8.14未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

訪問者のブラウザーで任意のスクリプトが実行される可能性があります。

自分は対象？

• Simple File Listプラグインのバージョンが6.3.11以下であること。

• フロントエンドのファイル管理機能が有効になっていること。

ほか2項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性により、機密情報が漏洩し、サイトが乗っ取られる可能性があります。

自分は対象？

• 対象製品は WordPress 用 Simple File List プラグインです。

• バージョン 6.3.11 以下が影響を受けます。

ほか4項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が細工したリンクを開いた管理者などのログインユーザーのブラウザーで不正なスクリプトが実行される可能性がある。

自分は対象？

• NextScripts: Social Networks Auto-Poster WordPress プラグインのバージョンが 4.4.8 未満である場合に影響を受ける。

• 攻撃は、管理者などのログイン済みユーザーが細工されたリンクを開くことで実行される。

ほか1項目は詳細ページへ

対象の版

NextScripts: Social Networks Auto-Poster：4.4.8未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注文合計やベンダーの収益・残高・出金履歴といった財務情報を取得できるため、機密性が失われる。

自分は対象？

• 対象は YayCurrency プラグインのバージョンが 3.3.5 未満である WordPress 環境。

• 影響を受けるのは、認証されていないユーザーがアクセスできるマルチベンダー統合ハンドラである。

ほか1項目は詳細ページへ

対象の版

YayCurrency：3.3.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

権限の高いユーザーのブラウザーで不正なスクリプトが実行され、ページ上で任意の操作が可能になる可能性がある。

自分は対象？

• Easy Media Replaceプラグインのバージョンが0.2.0以下であること。

• WordPressのメディアライブラリ一覧画面が使用されていること。

ほか4項目は詳細ページへ

対象の版

Easy Media Replace：0.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者により任意のユーザーが自分のアカウントにログインできなくなり、管理者でさえロックアウトされる可能性があります。

自分は対象？

• WordPress に User Verification by PickPlugins プラグインがインストールされ、バージョンが 2.0.47 以下である環境。

• 認証されていない外部から、任意のユーザー ID を指定して検証メール再送リクエストを送信できる状態。

ほか1項目は詳細ページへ

対象の版

User Verification by PickPlugins：2.0.47以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は他のユーザーが作成したクイズのメール通知先アドレスなどの設定情報を取得できる。

自分は対象？

• 対象は Quiz and Survey Master (QSM) の WordPress プラグインで、バージョンが 11.2.4 未満であること。

• 影響を受ける機能は、クイズのメール通知設定および結果ページ設定を返す REST ルートである。

ほか4項目は詳細ページへ

対象の版

Quiz and Survey Master (QSM)：11.2.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。