使っている製品の、危険と対策がわかる。

どんな危険？

管理者などのブラウザーで、その人のログイン状態を使った不正な処理が実行されるおそれがあります。公開サイトの全訪問者が、ログインせず直接この操作をできるという内容ではありません。

自分は対象？

• 対象はWordPress本体です。7.0系では7.0.2までが影響し、古い系列にも対象版があります。プラグインの更新だけでは本体の問題は修正されません。

• 利用者数が多いサイトであること、攻撃者がContributor（日本語画面の「寄稿者」）以上の権限を持つこと、より強い権限の人が該当の管理画面を開くことが、説明に挙げられた条件です。

ほか2項目は詳細ページへ

対象の版

WordPress：>= 4.7.0 / <= 4.7.33WordPress：>= 4.8.0 / <= 4.8.28WordPress：>= 4.9.0 / <= 4.9.29WordPress：>= 5.0.0 / <= 5.0.25WordPress：>= 5.1.0 / <= 5.1.22WordPress：>= 5.2.0 / <= 5.2.24WordPress：>= 5.3.0 / <= 5.3.21WordPress：>= 5.4.0 / <= 5.4.19WordPress：>= 5.5.0 / <= 5.5.18WordPress：>= 5.6.0 / <= 5.6.17WordPress：>= 5.7.0 / <= 5.7.15WordPress：>= 5.8.0 / <= 5.8.13WordPress：>= 5.9.0 / <= 5.9.13WordPress：>= 6.0.0 / <= 6.0.12WordPress：>= 6.1.0 / <= 6.1.10WordPress：>= 6.2.0 / <= 6.2.9WordPress：>= 6.3.0 / <= 6.3.8WordPress：>= 6.4.0 / <= 6.4.8WordPress：>= 6.5.0 / <= 6.5.8WordPress：>= 6.6.0 / <= 6.6.5WordPress：>= 6.7.0 / <= 6.7.5WordPress：>= 6.8.0 / <= 6.8.6WordPress：>= 6.9.0 / <= 6.9.5WordPress：>= 7.0.0 / <= 7.0.2

修正版

WordPress 7.0系: 7.0.3

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

この脆弱性が悪用されると、サーバーや機器に攻撃者の命令を実行させられる（リモートコード実行）恐れがあります。

自分は対象？

• 攻撃者は認証されていない状態であること。

• サーバー側と使用中のテーマが、`get_page_template()` が外部のローカル `.php` ファイルを読み込むことを許可する設定になっていること。

ほか3項目は詳細ページへ

対象の版

WordPress：7.1.2未満

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

攻撃者はリモートコード実行によりサーバー上で任意のコードを実行できる可能性があります。

自分は対象？

• WordPress 6.9.x の 6.9.5 未満のバージョンが対象です。

• WordPress 7.0.x の 7.0.2 未満のバージョンが対象です。

ほか4項目は詳細ページへ

対象の版

WordPress：6.9.0以上・6.9.5未満WordPress：7.0.0以上・7.0.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

SQL インジェクションが実行される可能性がある。

自分は対象？

• 対象は WordPress 6.8.x（6.8.6 未満）、6.9.x（6.9.5 未満）、7.0.x（7.0.2 未満）のコアです。

• プラグインまたはテーマが author__not_in パラメータに信頼できない入力を渡す場合に脆弱性が発生します。

ほか2項目は詳細ページへ

対象の版

WordPress：6.8.0以上・6.8.6未満WordPress：6.9.0以上・6.9.5未満WordPress：7.0.0以上・7.0.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。