使っている製品の、危険と対策がわかる。

どんな危険？

更新後に追加した公開範囲の制限が失われ、非公開にしたはずの投稿種別や内容が、ログインしていない訪問者にも見える状態になる可能性があります。

自分は対象？

• 対象版は2.0.2以上、2.12.3未満です。報告された攻撃は、2.0未満の版から移行したサイトの古い設定を復元するもので、攻撃者のログインは不要です。

• 導入したのが古いサイトか、2.0未満の時代から使っているかを保守履歴や担当者に確認してください。履歴が分からない場合も、修正版への更新を優先してください。

ほか1項目は詳細ページへ

対象の版

MB Custom Post Types & Custom Taxonomies：2.0.2以上・2.12.3未満

修正版

2.12.3

どんな危険？

ログインしていない攻撃者が送ったCookie（ブラウザーが送る情報）の内容がページに混ざり、キャッシュを通して他の人のブラウザーでも不正な処理が動く可能性があります。

自分は対象？

• 無料版は11.4.3未満、Pro版は12.6.8未満が対象です。ページ全体のHTMLを保存して再利用するキャッシュ機能を使っていることが、報告された攻撃の条件です。

• プラグイン・レンタルサーバー・CDNのいずれかでページキャッシュを使っていないか担当者に確認してください。画像のキャッシュだけを使っていることとは区別します。

ほか1項目は詳細ページへ

対象の版

PixelYourSite：11.4.3未満PixelYourSite Pro：12.6.8未満

修正版

PixelYourSite 11.4.3PixelYourSite Pro 12.6.8

どんな危険？

機械翻訳に関する設定を意図しない値に変えられる可能性があります。CVEの説明だけでは、サイト全体の管理者権限を取得できることや、保存済みの秘密鍵を読み出せることまでは示されていません。

自分は対象？

• 対象はInfility Globalの2.16.25未満です。CVEの表題はGoogle Translate APIキーの更新処理を挙げ、説明は連携機能の機械翻訳設定の上書きとしています。攻撃者のログインは不要です。

• 最初に「Infility Global」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Infility Global：2.16.25未満

修正版

2.16.25

どんな危険？

本来フォームを扱うだけの利用者が、サイトを管理する強い権限を得るおそれがあります。攻撃には、すでにプラグイン独自の役割を持つアカウントが必要です。

自分は対象？

• 対象はHIPAA Formsの3.3.2未満で、プラグイン独自の「hipaa_forms」の役割を持つ利用者がいる構成です。CVEの説明は、その役割をすでに持つ利用者による攻撃を示しています。

• ユーザー一覧とフォームの利用権限を確認し、誰がHIPAA Forms用の役割を持っているか担当者に確認してください。

ほか1項目は詳細ページへ

対象の版

HIPAA Forms：3.3.2未満

修正版

3.3.2

どんな危険？

ショートコードとは、短い記号でサイトの機能を呼び出す仕組みです。レビューに混ぜたショートコードを実行されると、導入済みの機能に応じて意図しない処理が起きます。この問題だけで、あらゆるPHPコードを自由に実行できるとは限りません。

自分は対象？

• 対象はWP Ultimate Reviewの2.4.5未満です。訪問者によるレビュー投稿と、対象となる項目の表示が有効な場合に問題になります。攻撃者はログインしている必要がありません。

• CVEの表題では、レビュー投稿者のメール欄を経由する問題として示されています。

ほか1項目は詳細ページへ

対象の版

WP Ultimate Review：2.4.5未満

修正版

2.4.5

どんな危険？

顧客の郵便住所、電話番号、会社情報が漏れるおそれがあります。顧客アカウントへのログインを破らなくても、注文手続きを通じて成立する点に注意が必要です。

自分は対象？

• 対象はFluentCart A New Era of eCommerceの2.2.0未満です。注文時に指定された保存済み住所が本人のものかを確認しないことが原因で、攻撃者のログインは不要です。

• 最初に「FluentCart A New Era of eCommerce」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

FluentCart A New Era of eCommerce：2.2.0未満

修正版

2.2.0

どんな危険？

管理者などのブラウザーで、その人のログイン状態を使った不正な処理が実行されるおそれがあります。公開サイトの全訪問者が、ログインせず直接この操作をできるという内容ではありません。

自分は対象？

• 対象はWordPress本体です。7.0系では7.0.2までが影響し、古い系列にも対象版があります。プラグインの更新だけでは本体の問題は修正されません。

• 利用者数が多いサイトであること、攻撃者がContributor（日本語画面の「寄稿者」）以上の権限を持つこと、より強い権限の人が該当の管理画面を開くことが、説明に挙げられた条件です。

ほか2項目は詳細ページへ

対象の版

WordPress：>= 4.7.0 / <= 4.7.33WordPress：>= 4.8.0 / <= 4.8.28WordPress：>= 4.9.0 / <= 4.9.29WordPress：>= 5.0.0 / <= 5.0.25WordPress：>= 5.1.0 / <= 5.1.22WordPress：>= 5.2.0 / <= 5.2.24WordPress：>= 5.3.0 / <= 5.3.21WordPress：>= 5.4.0 / <= 5.4.19WordPress：>= 5.5.0 / <= 5.5.18WordPress：>= 5.6.0 / <= 5.6.17WordPress：>= 5.7.0 / <= 5.7.15WordPress：>= 5.8.0 / <= 5.8.13WordPress：>= 5.9.0 / <= 5.9.13WordPress：>= 6.0.0 / <= 6.0.12WordPress：>= 6.1.0 / <= 6.1.10WordPress：>= 6.2.0 / <= 6.2.9WordPress：>= 6.3.0 / <= 6.3.8WordPress：>= 6.4.0 / <= 6.4.8WordPress：>= 6.5.0 / <= 6.5.8WordPress：>= 6.6.0 / <= 6.6.5WordPress：>= 6.7.0 / <= 6.7.5WordPress：>= 6.8.0 / <= 6.8.6WordPress：>= 6.9.0 / <= 6.9.5WordPress：>= 7.0.0 / <= 7.0.2

修正版

WordPress 7.0系: 7.0.3

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

サーバ上で任意のコード実行が行われる可能性があります。

自分は対象？

• JVNが公表している対象範囲です。 PHP 8.5.12より前のバージョン PHP 8.4.27より前のバージョン PHP 8.3.36より前のバージョン PHP 8.2.35より前のバージョン

• 利用中の製品名・開発元・版を、この対象範囲と照らし合わせてください。OSや製品の種類、機能の設定、例外の記載がある場合は、番号だけでなくその条件も確認します。自分で判断できない場合は、下の確認メモを管理担当者に渡してください。

対象の版

対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性があります。

自分は対象？

• JVNが公表している対象範囲です。 LIFF SDK 2.20.0から2.31.0までのバージョン

• 利用中の製品名・開発元・版を、この対象範囲と照らし合わせてください。OSや製品の種類、機能の設定、例外の記載がある場合は、番号だけでなくその条件も確認します。自分で判断できない場合は、下の確認メモを管理担当者に渡してください。

ほか3項目は詳細ページへ

対象の版

対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

DNSの処理が極端に重くなる、DNSサーバーが終了する、といった問題があります。GSS-TSIGの問題では、有効な署名済み通信を取得した攻撃者が一定の条件を満たすと、不正なコード実行につながる可能性もあります。すべての構成が同じ条件で攻撃されるわけではありません。

自分は対象？

• CVE-2026-19630：名前解決を行うBINDリゾルバーが、細工されたDNSメッセージの処理でCPUとメモリーを過剰に使う問題です。対象は9.11.0〜9.18.50、9.20.0〜9.20.29、9.21.0〜9.21.26、9.11.3-S1〜9.18.50-S1、9.20.9-S1〜9.20.29-S1です。両端を含みます。

• CVE-2026-94300：GSS-TSIGで署名されたUDP通信を取得した攻撃者が、その鍵がまだ有効な間に通信を再送し、さらに攻撃者の管理するゾーンへの細工した問い合わせを組み合わせることが条件です。対象は9.11.0〜9.18.50、9.20.0〜9.20.29、9.21.0〜9.21.26、9.11.3-S1〜9.18.50-S1、9.20.9-S1〜9.20.29-S1で、両端を含みます。

ほか4項目は詳細ページへ

対象の版

対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

攻撃者は認証不要でリモートからコードを実行でき、Web ワーカーアカウントの権限で任意の処理を行える可能性があります。

自分は対象？

• 攻撃者は認証なしでリクエストを送信できることが前提です。

• Apache mod_php 環境では、リクエスト開始が失敗した後でもリクエストシャットダウン手順が無条件に実行されます。

ほか5項目は詳細ページへ

対象の版

PHP：8.2系の8.2.35未満PHP：8.3系の8.3.36未満PHP：8.4系の8.4.27未満PHP：8.5系の8.5.12未満

修正版

8.2.358.3.368.4.278.5.12

どんな危険？

攻撃が成功すると、ウェブワーカーの権限でリモートコード実行が可能となり、メモリ情報の漏洩や任意コードの実行が行われます。

自分は対象？

• 攻撃者は認証不要で、PHP が同一ワーカー上で複数の HTTP リクエストを処理する環境であることが必要です。

• 攻撃には「プロデューサー」と「コンシューマー」の二つの操作が必要です。プロデューサーはリクエスト所有の状態をグローバルに保存し、リクエストメモリが解放された後も残ります。

ほか5項目は詳細ページへ

対象の版

PHP：8.2系の8.2.35未満PHP：8.3系の8.3.36未満PHP：8.4系の8.4.27未満PHP：8.5系の8.5.12未満

修正版

8.2.358.3.368.4.278.5.12

どんな危険？

具体的な被害は記載されていません。

自分は対象？

• WordPress Team Members – GS Plugins プラグインのバージョン 2.8.2 まで（それ以前のすべてのバージョン）が影響を受けます。

• 公式の対象表：GS Plugins / WordPress Team Members – GS Plugins。影響ありとして記載：2.8.2以下の版。途中の変更：2.8.3から影響なし。

対象の版

WordPress Team Members – GS Plugins：<= 2.8.2 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 2.8.3から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

認証されていない攻撃者がそのページを閲覧した訪問者（管理者を含む）のブラウザーで任意の JavaScript を実行できる。

自分は対象？

• Jane Menu プラグインのバージョンが 1.5.1 未満であること。

• 対象のフォームハンドラが認証されていないユーザーからアクセス可能であること。

ほか2項目は詳細ページへ

対象の版

Jane Menu：1.5.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者が受け取る通知メールに任意の HTML が含まれるため、メールクライアントで不正な処理が実行される可能性がある。

自分は対象？

• HappyForms のバージョンが 1.26.15 未満のすべてのインストールが影響を受ける。

• 公式の対象表：HappyForms。影響ありとして記載：1.26.15未満の版。

対象の版

HappyForms：1.26.15未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

投票総数が不正に増える可能性があります。

自分は対象？

• Contest Gallery プラグインのバージョンが 34.0.1 未満であること。

• 投票制限はクライアントが送信するリクエストヘッダーとクライアント生成トークンに基づいて訪問者の身元を判断していること。

ほか1項目は詳細ページへ

対象の版

Contest Gallery：34.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

支払いが行われないまま予約が確定し、無料でサービスが利用できる状態になる。

自分は対象？

• 対象はLatePoint WordPressプラグインのバージョンが5.7.5未満であること。

• 攻撃は認証されていない訪問者が 'payment_portion' パラメータを操作できることが前提です。

ほか2項目は詳細ページへ

対象の版

LatePoint：5.7.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

訪問者が攻撃者が設定した不正な価格で商品を購入できるため、販売者に金銭的損失が生じる可能性があります。

自分は対象？

• Simple Shopping Cart WordPress プラグインのバージョン 5.1.3 以上 5.3.3 未満が影響を受けます。

• Contributor ロール以上のユーザーが、商品価格の検証が行われない状態で価格を送信できます。

ほか3項目は詳細ページへ

対象の版

Simple Shopping Cart：5.1.3以上・5.3.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が実際に支払っていないにもかかわらず、注文が支払済みとみなされるため、商品やサービスが不正に提供される可能性があります。

自分は対象？

• Simple Shopping Cart プラグインのバージョンが 5.3.3 未満で、デフォルト設定のまま使用している場合に影響を受けます。

• 公式の対象表：Simple Shopping Cart。影響ありとして記載：5.3.3未満の版。

対象の版

Simple Shopping Cart：5.3.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意の注文を支払済みまたは失敗として偽装できるため、売上や在庫管理が不正になる可能性があります。

自分は対象？

• WordPress 用プラグイン「Payment Gateway for Telcell」のバージョンが 2.0.5 未満のものが影響を受けます。

• このプラグインはデフォルトでマーチャントシークレットが空になっており、支払い通知の真正性を検証しません。

ほか1項目は詳細ページへ

対象の版

Payment Gateway for Telcell：2.0.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。