使っている製品の、危険と対策がわかる。

どんな危険？

任意のファイルを読み取られることで、機密情報が漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 1.3.0 以下（1.3.0 を含む）である場合に影響を受けます。

• サイト管理者が Optimize CSS 機能を有効にし、デフォルトの Inline Google Fonts オプションが有効になっている必要があります。

ほか3項目は詳細ページへ

対象の版

Debloat – Remove Unused CSS, Optimize JS：1.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、未確認の WordPress アカウント（管理者レベルを含む）としてログインできるようになる可能性があります。

自分は対象？

• 対象プラグインは Customer Email Verification for WooCommerce である。

• 影響を受けるバージョンは 3.3.0 以下（3.3.0 を含む）である。

ほか10項目は詳細ページへ

対象の版

Customer Email Verification for WooCommerce：3.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はデータベースに対して任意の SQL クエリを実行できるため、機密情報が漏洩する恐れがあります。

自分は対象？

• バージョン 1.7.0 まで（それを含む）のすべてのリリースが影響を受けます。

• 認証済みで custom‑level 以上の権限を持つ攻撃者がこの脆弱性を利用できます。

ほか2項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のショートコードを実行できるため、サーバー上の任意のデータを取得したり、サイトにインストールされている他のショートコードが提供する機能を悪用される可能性があります。

自分は対象？

• 未認証の攻撃者が Client-IP、X-Forwarded-For、Forwarded、X-Forwarded、Forwarded-For ヘッダーを操作できる。

• プラグインの ays_popup_get_user_ip() 関数がこれらヘッダーを sanitize_text_field() だけでサニタイズする。

ほか5項目は詳細ページへ

対象の版

Popup Box – Create Countdown, Coupon, Video, Contact Form Popups：>= 6.4.1 / <= 6.4.2

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

ページを表示した人のブラウザーで不正な処理が実行される可能性があります。

自分は対象？

• Motors – Car Dealership & Classified Listings Plugin のバージョン 1.4.124 以下すべてが影響を受けます。

• Subscriber 以上の権限を持つ認証済みユーザーが攻撃を実行できます。

ほか2項目は詳細ページへ

対象の版

Motors – Car Dealership & Classified Listings Plugin：1.4.124以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性が利用されると、サーバーや機器に攻撃者の命令を実行させられる（リモートコード実行）可能性があります。

自分は対象？

• 認証されていない攻撃者が対象となります。

• `get_page_template()` 関数がページテンプレートの解決に使用される必要があります。

ほか4項目は詳細ページへ

対象の版

WordPress：7.1.2未満

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

任意のユーザーの会員プランの詳細が外部に漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 3.1.2 未満であること。

• WordPress の REST API が有効化されていること。

ほか4項目は詳細ページへ

対象の版

Membership For WooCommerce：3.1.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この問題により、顧客の氏名や予約日時、予約のステータスといった機密情報が、権限の低い投稿者レベルのユーザーに漏洩する可能性があります。

自分は対象？

• 対象となるのは、Easy Appointmentsプラグインのバージョン3.12.28から4.0.1未満のすべてのリリースです。

• 影響を受けるのは、WordPressサイト上で「投稿者（contributor）以上」の権限を持つユーザーが、予約一覧を取得するRESTエンドポイントにアクセスした場合です。

ほか1項目は詳細ページへ

対象の版

Easy Appointments：3.12.28以上・4.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者のセッション内で不正なスクリプトが実行され、管理者が意図しない操作や情報漏洩が起こる可能性があります。

自分は対象？

• 対象製品は ProSolution WP Client プラグインで、バージョンが 2.0.11 未満のものです。

• 影響は管理者用ページの 'page' パラメータが HTML 属性にそのまま反映されるケースに限られます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ページを表示した人のブラウザーで不正なスクリプトが実行される可能性があります。

自分は対象？

• ProSolution WP Client のバージョンが 2.0.11 未満のすべてのインストールが影響を受けます。

• 影響を受けるのは、プラグインの公開ページを閲覧するすべての訪問者で、ログイン中の管理者も含まれます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

悪意あるJavaScriptがSVGを閲覧したユーザーのブラウザで実行され、ページ上で不正な操作が可能になる可能性があります。

自分は対象？

• JetEngineプラグインのバージョンが3.8.14未満であること。

• WordPressにJetEngineプラグインがインストールされていること。

ほか4項目は詳細ページへ

対象の版

JetEngine：3.8.14未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

訪問者のブラウザーで任意のスクリプトが実行される可能性があります。

自分は対象？

• Simple File Listプラグインのバージョンが6.3.11以下であること。

• フロントエンドのファイル管理機能が有効になっていること。

ほか2項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性により、機密情報が漏洩し、サイトが乗っ取られる可能性があります。

自分は対象？

• 対象製品は WordPress 用 Simple File List プラグインです。

• バージョン 6.3.11 以下が影響を受けます。

ほか4項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が細工したリンクを開いた管理者などのログインユーザーのブラウザーで不正なスクリプトが実行される可能性がある。

自分は対象？

• NextScripts: Social Networks Auto-Poster WordPress プラグインのバージョンが 4.4.8 未満である場合に影響を受ける。

• 攻撃は、管理者などのログイン済みユーザーが細工されたリンクを開くことで実行される。

ほか1項目は詳細ページへ

対象の版

NextScripts: Social Networks Auto-Poster：4.4.8未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注文合計やベンダーの収益・残高・出金履歴といった財務情報を取得できるため、機密性が失われる。

自分は対象？

• 対象は YayCurrency プラグインのバージョンが 3.3.5 未満である WordPress 環境。

• 影響を受けるのは、認証されていないユーザーがアクセスできるマルチベンダー統合ハンドラである。

ほか1項目は詳細ページへ

対象の版

YayCurrency：3.3.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

権限の高いユーザーのブラウザーで不正なスクリプトが実行され、ページ上で任意の操作が可能になる可能性がある。

自分は対象？

• Easy Media Replaceプラグインのバージョンが0.2.0以下であること。

• WordPressのメディアライブラリ一覧画面が使用されていること。

ほか4項目は詳細ページへ

対象の版

Easy Media Replace：0.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者により任意のユーザーが自分のアカウントにログインできなくなり、管理者でさえロックアウトされる可能性があります。

自分は対象？

• WordPress に User Verification by PickPlugins プラグインがインストールされ、バージョンが 2.0.47 以下である環境。

• 認証されていない外部から、任意のユーザー ID を指定して検証メール再送リクエストを送信できる状態。

ほか1項目は詳細ページへ

対象の版

User Verification by PickPlugins：2.0.47以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は他のユーザーが作成したクイズのメール通知先アドレスなどの設定情報を取得できる。

自分は対象？

• 対象は Quiz and Survey Master (QSM) の WordPress プラグインで、バージョンが 11.2.4 未満であること。

• 影響を受ける機能は、クイズのメール通知設定および結果ページ設定を返す REST ルートである。

ほか4項目は詳細ページへ

対象の版

Quiz and Survey Master (QSM)：11.2.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は他のユーザーが作成したクイズの表示テキストを任意に書き換えることができる。

自分は対象？

• 対象は WordPress 用プラグイン「Quiz and Survey Master」。

• バージョンが 11.2.4 未満のものが影響を受ける。

ほか2項目は詳細ページへ

対象の版

Quiz and Survey Master (QSM)：11.2.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者が提出された予約の SVG を開くと、任意の JavaScript が実行され、管理者のセッションが乗っ取られる可能性があります。

自分は対象？

• 認証されていない攻撃者が SVG ファイルをアップロードできる

• 管理者が提出された予約の SVG を開くと、任意の JavaScript が実行される

ほか1項目は詳細ページへ

対象の版

Booking calendar, Appointment Booking System：>= 3.2.18 / <= 3.2.36

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。