使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者は任意の PHP をサーバー上で実行できるため、サーバー全体の制御を奪取される可能性がある。

自分は対象？

• 対象は WordPress のマルチサイト環境である。

• 攻撃者はネットワーク管理者ではなく、子サイトの管理者権限を持っている必要がある。

ほか4項目は詳細ページへ

対象の版

Duplicator：1.5.17以上・5.0.0未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が管理者権限で認証されるため、サイト全体を操作できる可能性がある。

自分は対象？

• 対象プラグインのバージョンが 1.1.0（1.1.1 未満）であること。

• プラグインが X-User ヘッダーと Role ヘッダーが信頼できるリバースプロキシから送信されたものかを検証しないこと。

ほか2項目は詳細ページへ

対象の版

Datawiza Proxy Auth Plugin：1.1.0以上・1.1.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

外部ホストへ送信されるパスワードフィールドが埋め込まれる可能性がある。

自分は対象？

• プラグインのバージョンが 1.11.2 未満であること。

• 攻撃者が Contributor ロール以上の権限を持っていること。

ほか3項目は詳細ページへ

対象の版

Qi Addons For Elementor：1.11.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認可されていない設定変更により、低権限ユーザーが機能へのアクセス権を不正に変更できる可能性がある。

自分は対象？

• 対象プラグインのバージョンが 0.1.4.2 未満であること。

• 管理者が同期機能へのアクセス権を低権限ロールに付与していること（この権限付与はデフォルトでは無効）。

ほか2項目は詳細ページへ

対象の版

InstaWP Connect：0.1.4.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この欠陥により、攻撃者は他のユーザーが作成した仮想ツアーを不正に改ざんし、公開状態に変更できる。

自分は対象？

• 対象は WPVR プラグインのバージョン 8.3.0 以上 9.0.3 未満がインストールされた WordPress 環境で、貢献者（Contributor）以上の権限を持つユーザーが仮想ツアーの更新操作を行う場合。

• 公式の対象表：WPVR。影響ありとして記載：8.3.0以上、9.0.3未満。

対象の版

WPVR：8.3.0以上・9.0.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

結果として、権限を持つ攻撃者は他のユーザーの仮想ツアーの内容を閲覧したり改ざんしたりできる可能性があります。

自分は対象？

• 対象は WPVR プラグインのバージョン 9.0.0 以上 9.0.3 未満がインストールされている WordPress 環境で、攻撃者が Contributor 以上の権限を持ち、仮想ツアーの閲覧または更新操作を行う場合です。

• 公式の対象表：WPVR。影響ありとして記載：9.0.0以上、9.0.3未満。

対象の版

WPVR：9.0.0以上・9.0.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はツアーコンテンツを作成・公開し、任意の投稿メタデータを設定できる。

自分は対象？

• Contributor 以上のロールを持つユーザーが、WPVR のセットアップウィザードを使用してツアーを作成する場合に影響する。

• 公式の対象表：WPVR。影響ありとして記載：8.5.55以上、9.1.3未満。

対象の版

WPVR：8.5.55以上・9.1.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

寄付者の住所情報が、寄付者レポート（閲覧）権限しか持たないユーザーによって追加・変更・削除される可能性があり、データの不正改ざんが起こる。

自分は対象？

• GiveWP プラグインのバージョンが 4.19.0.1 未満で、寄付者レポート（閲覧）権限はあるが寄付者編集権限を持たない認証済みユーザーが対象。

• 公式の対象表：GiveWP。影響ありとして記載：4.19.0.1未満の版。

対象の版

GiveWP：4.19.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

これにより、攻撃者は他のユーザーのページを不正に変更したり、公開したり、内容を閲覧できる。

自分は対象？

• カスタム募金ロールを持つユーザーがページ権限リクエストを行う場合に影響を受ける。

• GiveWP プラグインのバージョンが 4.19.0.1 未満であることが前提条件である。

ほか1項目は詳細ページへ

対象の版

GiveWP：4.19.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

訪問者や管理者のブラウザーで任意のスクリプトが実行される可能性があります。

自分は対象？

• GiveWP 4.19.0.1 未満の環境で、カスタムフォーム編集権限を持つユーザーが寄付フォームテンプレートの設定を編集できる場合に適用されます。

• 公式の対象表：GiveWP。影響ありとして記載：4.19.0.1未満の版。

対象の版

GiveWP：4.19.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はサーバー上の任意の JSON ファイルの内容を取得でき、プラグインの設定を改ざんできるため、機密情報の漏洩やプラグインの動作不良が生じる可能性がある。

自分は対象？

• 高権限のカスタムロールを持つユーザーが、GiveWP のコア設定インポート機能を使用してファイル名を指定できる環境。

• 公式の対象表：GiveWP。影響ありとして記載：4.19.0.1未満の版。

対象の版

GiveWP：4.19.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない訪問者が未公開の寄付フォームの情報を取得できる情報漏洩のリスクがあります。

自分は対象？

• 認証されていない訪問者が、公開フロントエンドのルートを通じて寄付フォームを表示した場合に影響します。

• 対象となる寄付フォームは、WordPress コアが非公開とする下書き、保留、非公開、予約状態のものです。

ほか2項目は詳細ページへ

対象の版

GiveWP：4.19.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

支払いが行われていないにもかかわらず、注文が完了したものとして処理される可能性がある。

自分は対象？

• StripeのWebhook署名シークレットが設定されていないこと（デフォルト状態）。

• 攻撃者が認証されていないこと。

ほか1項目は詳細ページへ

対象の版

WP Stripe Checkout：1.2.2.62未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

埋め込まれたスクリプトが他のユーザーのブラウザーで実行され、ページ上で不正な処理が行われます。

自分は対象？

• フォームエディタにアクセスできるユーザーが対象です。

• マルチサイト環境で、管理者が unfiltered_html 権限を持っていない場合に影響があります。

ほか2項目は詳細ページへ

対象の版

Contact Form by Supsystic：1.8.0未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

支払いが行われていないにもかかわらず、任意の注文が支払済みとマークされる。

自分は対象？

• プラグインのバージョンが 1.0.6 以下であること。

• 攻撃者が認証されていないこと。

ほか1項目は詳細ページへ

対象の版

Chikkili- Google Pay India for Woocommerce：1.0.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がこの脆弱性を利用すると、Editor などの非管理者ロールに昇格し、その権限で完全に認証されたセッションを取得できる可能性があります。

自分は対象？

• 攻撃者は認証済みで、Contributor 以上の権限を持っている必要があります。

• 攻撃対象は `/ablocks/v1/form-builder/registration` REST エンドポイントです。

ほか6項目は詳細ページへ

対象の版

aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder：2.17.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がこの脆弱性を利用すると、適切な認可が行われないため、本来制限すべき機能やデータに不正にアクセスできる可能性があります。

自分は対象？

• WP Social Feed Gallery のアクセス制御が誤って設定されている場合に適用されます。

• 公式の対象表：quadlayers / WP Social Feed Gallery。影響ありとして記載：5.0.13以下の版。

対象の版

WP Social Feed Gallery：5.0.13以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が悪意のあるスクリプトを保存できると、ページを表示した人のブラウザーで不正な処理が実行されます。

自分は対象？

• 攻撃者が WP Event Solution プラグインを通して入力を保存できることが前提です。また、被害者がそのページを閲覧する必要があります。

• 公式の対象表：Arraytics / WP Event Solution。影響ありとして記載：4.1.26以下の版。途中の変更：4.1.27から影響なし。

対象の版

WP Event Solution：<= 4.1.26 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.1.27から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃が成功すると、被害者のブラウザー上で任意のスクリプトが実行され、ページを閲覧したユーザーのブラウザーで不正な処理が動かされる可能性があります。

自分は対象？

• 攻撃者は Contributor 以上のロールを持っている必要があります。

• 対象となるのは WPVR プラグインのバージョンが 9.0.3 未満であることです。

ほか2項目は詳細ページへ

対象の版

WPVR：8.5.49以上・9.0.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者がリスティングを改ざんしたり、非公開にしたり、画像を付加したり、所有者を変更できる。

自分は対象？

• ゲスト投稿（ログアウト状態のユーザーによる投稿）が有効化されていること。

• ログアウト状態のユーザーがリスティングを投稿できること。

ほか2項目は詳細ページへ

対象の版

GeoDirectory：2.8.194未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。