使っている製品の、危険と対策がわかる。

どんな危険？

認証されていないユーザーが他の顧客の請求先住所、購入商品、合計金額といった注文情報を取得できる可能性があります。

自分は対象？

• Kliken: Ads + Pixel for Meta のバージョン 1.2.3 未満が影響を受けます。

• 公式の対象表：Kliken: Ads + Pixel for Meta。影響ありとして記載：1.2.3未満の版。

対象の版

Kliken: Ads + Pixel for Meta：1.2.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ログイン中のユーザーのブラウザーで攻撃者が仕込んだスクリプトが実行され、ページの表示や操作が不正に変更される可能性があります。

自分は対象？

• プラグインは送信されたフォームデータをリードエントリとして保存します。

• 保存されたリードエントリはリードデバッグメタボックスに出力されますが、サニタイズやエスケープが行われません。

ほか3項目は詳細ページへ

対象の版

Redirection for Contact Form 7：2.2.7以上・3.2.12未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

Editor 以上の権限を持つユーザーが、ナビゲーションメニューやブロックテンプレート、グローバルスタイル、WooCommerce クーポンなど、本来編集できない投稿タイプのタイトルや抜粋を変更できる。

自分は対象？

• AI Engine プラグインのバージョンが 3.8.6 未満であること。

• 攻撃者が WordPress の Editor ロール以上の権限を持っていること。

ほか2項目は詳細ページへ

対象の版

AI Engine：3.8.6未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

SQL インジェクション攻撃が可能になることで、データベースの情報が不正に取得・改ざんされる恐れがあります。

自分は対象？

• Swift Performance Lite のバージョンが 2.3.7.4 未満であること。

• author ロール以上のユーザーが対象となること。

ほか1項目は詳細ページへ

対象の版

Swift Performance Lite：2.3.7.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーが管理者と同等の権限を得ることで、サイト全体を操作できる可能性がある。

自分は対象？

• 対象プラグインは WP User Manager のバージョン 2.9.21 以上 2.9.26 未満。

• 有料登録フォームが公開され、かつ支払いゲートウェイ（例: Stripe）が切断された状態。

ほか2項目は詳細ページへ

対象の版

WP User Manager：2.9.21以上・2.9.26未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザーが作成した投稿やページがポートフォリオ項目に変換され、元の一覧や URL から消えてしまう可能性がある。

自分は対象？

• 対象プラグインは WPZOOM Portfolio Lite である。

• バージョンが 1.4.34 未満のものが影響を受ける。

ほか3項目は詳細ページへ

対象の版

WPZOOM Portfolio Lite：1.4.34未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証済みユーザーが任意のプラグインを有効化できるため、サイトの機能やセキュリティが攻撃者により変更される可能性があります。

自分は対象？

• Productive Commerce プラグインのバージョンが 1.1.49 未満であること。

• WordPress の管理画面上で動作していること。

ほか4項目は詳細ページへ

対象の版

Productive Commerce：1.1.49未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者などの高権限ユーザーのブラウザーで不正なスクリプトが実行され、ページ上で攻撃者が意図した処理が行われる恐れがあります。

自分は対象？

• WP Booking System のバージョンが 2.1.0.3 未満である場合に影響を受けます。

• 攻撃者が 'booking_id' パラメータを管理者ページに送信できる場合に影響します。

ほか1項目は詳細ページへ

対象の版

WP Booking System：2.1.0.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーがマーチャントのプライベートなカタログ情報（価格、手数料、在庫、SKU、税金の内部情報、未公開商品など）を取得できる。

自分は対象？

• 匿名の訪問者が REST API の単一アップセルファンネル取得時に `expand` パラメータで任意の関連オブジェクトを含められる。

• プライベートフィールドが除去されないため、上記オブジェクトから価格、手数料、在庫、SKU、税金の内部情報や未公開商品が漏洩する。

ほか1項目は詳細ページへ

対象の版

SureCart：4.9.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者のブラウザーで攻撃者のスクリプトが実行され、管理者権限で不正な操作が行われる可能性があります。

自分は対象？

• HireZoot プラグインのバージョンが 4.1.1 未満であること。

• 攻撃者が WordPress の Author ロールを持っていること。

ほか3項目は詳細ページへ

対象の版

HireZoot：4.1.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

取得された配送ラベルには顧客の氏名、住所、電話番号が含まれているため、個人情報が漏洩する可能性がある。

自分は対象？

• SmartyParcelプラグインのバージョンが1.23.4未満のすべてのインストールが影響を受ける。

• 公式の対象表：SmartyParcel。影響ありとして記載：1.23.4未満の版。

対象の版

SmartyParcel：1.23.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

配送ラベルや追跡情報が削除され、注文管理に支障が出る可能性がある。

自分は対象？

• SmartyParcel WordPress プラグインのバージョンが 1.23.4 未満の場合に影響を受けます。

• 認証済みユーザー（例: 購読者）が配送ラベルや追跡情報の削除を行えるため、認可チェックが行われません。

ほか2項目は詳細ページへ

対象の版

SmartyParcel：1.23.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

低権限ユーザーが管理者権限を取得できるため、サイトが完全に侵害される恐れがあります。

自分は対象？

• 対象は WordPress 用 Simple Banner プラグインで、バージョンが 3.3.3 未満のものです。

• 管理者がバナー管理権限を付与したユーザー役割に対して、プラグインが本来必要な権限以上（フル管理者権限）を付与します。

ほか1項目は詳細ページへ

対象の版

Simple Banner：3.3.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は本番サイトのデータベースと設定を上書きし、サイトを利用できなくさせることができます。

自分は対象？

• 対象プラグインは「Backup and Staging by WP Time Capsule」のバージョンが 1.22.28 未満であること。

• 攻撃を実行できるのは、WP Time Capsule のステージングサイトにログインしている Subscriber 権限の認証済みユーザーです。

ほか2項目は詳細ページへ

対象の版

Backup and Staging by WP Time Capsule：1.22.28未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

対象ユーザーが未検証状態になることで、ログインできなくなります。

自分は対象？

• マルチサイトネットワーク環境で、サブサイト管理者が実行する場合に影響があります。

• 対象は、そのサブサイト管理者が管理権限を持たないネットワークユーザーです。

ほか2項目は詳細ページへ

対象の版

Uncanny Toolkit for LearnDash：3.8.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がユーザーのパスワードを任意に変更できるため、対象ユーザーのアカウントが完全に乗っ取られます。

自分は対象？

• 認証されていない攻撃者が偽装したリクエストを送信できること。

• 対象はパスワードリセットの途中にあるユーザーです。

ほか4項目は詳細ページへ

対象の版

Uncanny Toolkit for LearnDash：3.8.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は任意の注文に対して財務請求書を作成したり、注文を削除したり、製品情報や在庫数を変更できるため、金銭的な不正や在庫管理の混乱が生じる可能性がある。

自分は対象？

• 対象となるのは Moloni プラグインのバージョンが 5.0.14 未満である場合。

• WordPress にインストールされた Moloni プラグインが対象である。

ほか4項目は詳細ページへ

対象の版

Moloni：5.0.14未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーが管理者の通知メールアドレスなどの機密設定を取得できる。

自分は対象？

• Booking Package WordPress プラグインのバージョンが 1.7.31 未満であること。

• カレンダーアカウント設定を返す際に認可チェックが行われていないこと。

ほか1項目は詳細ページへ

対象の版

Booking Package：1.7.31未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

有料機能が無効化され、プラグインの提供するプレミアム機能が利用できなくなる可能性があります。

自分は対象？

• 対象は Booking Package プラグインのバージョン 1.7.31 未満です。

• プラグインはプレミアムサブスクリプション状態をリセットする際に、認可（Authorization）や有効性の確認を行いません。

ほか3項目は詳細ページへ

対象の版

Booking Package：1.7.31未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

個人情報が漏洩し、予約がキャンセルされる可能性がある。

自分は対象？

• 対象プラグインのバージョンが 1.7.31 未満であること。

• 予約キャンセルトークンが安全でない乱数生成ではなく、公開されている値から導出されていること。

ほか3項目は詳細ページへ

対象の版

Booking Package：1.7.31未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。