使っている製品の、危険と対策がわかる。

どんな危険？

ページが閲覧されたときに、攻撃者が注入した任意のウェブスクリプトが実行される可能性がある。

自分は対象？

• GeoDirectory – WP Business Directory Plugin and Classified Listings Directory プラグイン（WordPress 用）が対象。

• バージョン 2.8.192 以下（2.8.192 を含む）すべてが影響を受ける。

ほか4項目は詳細ページへ

対象の版

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory：2.8.192以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者がメディア添付ファイルを削除したり不正にアップロードできるため、サイト上の画像やファイルが失われたり、攻撃者が任意のコンテンツを配置できる可能性があります。

自分は対象？

• 対象プラグインは Photo Engine (Media Organizer & Lightroom) のすべてのバージョンで、バージョン 6.5.6 までが影響を受けます。

• 攻撃は認証されていない（unauthenticated）攻撃者でも実行可能です。

ほか8項目は詳細ページへ

対象の版

Photo Engine (Media Organizer & Lightroom)：6.5.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注入したスクリプトがユーザーのブラウザーで実行され、ページ閲覧時に不正な処理が行われる可能性があります。

自分は対象？

• Premium Packages – Sell Digital Products Securely プラグインのバージョン 7.2.8 まで（含む）が影響を受けます。

• 攻撃者は認証済みで、サブスクライバー以上の権限を持っている必要があります。

ほか4項目は詳細ページへ

対象の版

Premium Packages – Sell Digital Products Securely：7.2.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが攻撃者が改ざんしたページを閲覧すると、ページ上で不正なスクリプトが実行されます。

自分は対象？

• CP Multi View Events Calendar のバージョン 1.4.42 以下が影響を受けます。

• 管理者が少なくとも1つのカレンダー表示で「Allow edition in frontend?」オプションを有効にしている必要があります。

ほか3項目は詳細ページへ

対象の版

CP Multi View Events Calendar：1.4.42以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

データベースから機密情報が取得される可能性があります。

自分は対象？

• プラグイン「WP Booking System – Booking Calendar」のバージョン 2.1.0.1 以下が影響を受けます。

• 攻撃者は認証済みで、管理者レベル以上の権限を持っている必要があります。

ほか3項目は詳細ページへ

対象の版

WP Booking System – Booking Calendar：2.1.0.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が外部 MySQL のホスト名、データベース名、ユーザー名、平文パスワードといった機密情報を取得できる可能性があります。

自分は対象？

• 対象プラグインのバージョンが 1.4.5 以下であること。

• 管理者が Statistics 拡張機能を有効にしていること。

ほか4項目は詳細ページへ

対象の版

HUSKY – Products Filter for WooCommerce Professional：1.4.5以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他の顧客の注文情報が閲覧できてしまう情報漏洩が発生する可能性がある。

自分は対象？

• バージョンが 3.3.2 未満の Product Delivery Date for WooCommerce が影響を受ける。

• Contributor ロールのユーザーでも、カレンダー表示の AJAX アクションを通じて他の顧客の注文情報を閲覧できる。

ほか1項目は詳細ページへ

対象の版

Product Delivery Date for WooCommerce：3.3.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は SQL インジェクションによりデータベース内の任意情報を取得でき、マルチサイトではスーパ管理者のパスワードハッシュまで漏洩する可能性があります。

自分は対象？

• 対象プラグインはバージョン 3.8.9 未満であること。

• orderby パラメータが許可リストで検証されていないため、任意の文字列がデータベースクエリに組み込まれる。

ほか4項目は詳細ページへ

対象の版

affiliate-toolkit：3.8.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者がアカウントをパスワードなしで乗っ取る可能性がある。

自分は対象？

• 対象は OTP Login & Register Woocommerce プラグインのバージョン 2.7.3 未満である。

• 攻撃者は認証されていない状態で攻撃を実行できる。

ほか2項目は詳細ページへ

対象の版

OTP Login & Register Woocommerce：2.7.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

単一サイトの管理者がネットワーク全体の設定を不正に変更できる可能性がある。

自分は対象？

• Smush プラグインのバージョンが 4.3.4 未満である。

• WordPress のマルチサイト構成である。

ほか3項目は詳細ページへ

対象の版

Smush：4.3.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が新しい管理者アカウントを作成できる可能性があります。

自分は対象？

• Salon Booking Systemプラグインのバージョンが10.31.9未満であること。

• WordPressのREST API全体でリクエストの真正性が正しく検証されていないこと。

ほか8項目は詳細ページへ

対象の版

Salon Booking System：10.31.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が予約を作成し、ユーザーの連絡先情報を上書きし、支払いなしで予約を「支払済み」または「確定済み」とマークできる可能性があります。

自分は対象？

• 対象プラグインは Salon Booking System の WordPress 用プラグインであること。

• バージョンが 10.31.9 未満であること。

ほか4項目は詳細ページへ

対象の版

Salon Booking System：10.31.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は計算した有効なトークンを用いて、対象プラグインがインストールされたサイトの予約 API にアクセスできる可能性があります。

自分は対象？

• 対象は Salon Booking System WordPress プラグインのバージョン 10.31.9 未満です。

• プラグインはアクセストークンを安全な乱数ではなく、ハードコードされた値とトークン発行時の秒数から生成します。

ほか2項目は詳細ページへ

対象の版

Salon Booking System：10.31.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

顧客の個人情報が閲覧可能になるため、プライバシーが侵害される可能性がある。

自分は対象？

• 影響を受けるのはバージョン 10.31.3 未満の Salon Booking System プラグイン。

• 認証済みユーザー（例: サブスクライバー）が、予約情報を取得できる REST API ルートが制限されていない。

ほか1項目は詳細ページへ

対象の版

Salon Booking System：10.31.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

プラグインの投稿タイプとタクソノミー設定全体が永久に削除され、公開されたレコードが作成される可能性がある。

自分は対象？

• プラグインのバージョンが 2.12.2 未満であること。

• 認証済みユーザー（例: 購読者）がマイグレーション操作を実行できること。

ほか1項目は詳細ページへ

対象の版

MB Custom Post Types & Custom Taxonomies：2.12.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザーが送信した連絡先情報が閲覧できてしまう情報漏洩が発生します。

自分は対象？

• 対象プラグインは Visual Form Builder である。

• プラグインのバージョンが 3.1 以下である場合に影響を受ける。

ほか4項目は詳細ページへ

対象の版

Visual Form Builder：3.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

フィールド構造が変更されると、フォームの公開表示が壊れ、訪問者が正しくフォームを利用できなくなる。

自分は対象？

• 対象製品は WordPress 用 Visual Form Builder プラグインで、バージョン 3.1 以下が影響を受ける。

• 影響を受ける操作は、認証済みユーザー（Subscriber 以上）の権限でフォームフィールドの並び替えを行うこと。

ほか2項目は詳細ページへ

対象の版

Visual Form Builder：3.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーが SQL インジェクション攻撃を実行できる。

自分は対象？

• Mobile builder プラグインのバージョンが 1.4.2 以下であること。

• サイトに WCFM Delivery アドオンが導入されていること。

ほか2項目は詳細ページへ

対象の版

Mobile builder：1.4.2以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

未公開・非公開・ゴミ箱に入れたコンテンツのメディア情報が外部に漏洩し、機密情報が第三者に知られる可能性がある。

自分は対象？

• Document Gallery プラグインのバージョンが 5.1.1 以下である場合に影響を受ける。

• 公式の対象表：Document Gallery。影響ありとして記載：5.1.1以下の版。個別に記されていない版の影響は、原資料でも未確定です。

対象の版

Document Gallery：5.1.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意の金額・寄付者名・メッセージで寄付が完了したと記録される可能性がある。

自分は対象？

• Coinsnap Bitcoin Crowdfunding WordPress プラグインのバージョンが 1.2.0 以下である場合。

• プラグインは webhook の認証シークレットへのアクセス制限を行わず、認証されていないユーザーがシークレットを取得できる。

ほか1項目は詳細ページへ

対象の版

Coinsnap Bitcoin Crowdfunding：1.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。