使っている製品の、危険と対策がわかる。

どんな危険？

フィールド構造が変更されると、フォームの公開表示が壊れ、訪問者が正しくフォームを利用できなくなる。

自分は対象？

• 対象製品は WordPress 用 Visual Form Builder プラグインで、バージョン 3.1 以下が影響を受ける。

• 影響を受ける操作は、認証済みユーザー（Subscriber 以上）の権限でフォームフィールドの並び替えを行うこと。

ほか2項目は詳細ページへ

対象の版

Visual Form Builder：3.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーが SQL インジェクション攻撃を実行できる。

自分は対象？

• Mobile builder プラグインのバージョンが 1.4.2 以下であること。

• サイトに WCFM Delivery アドオンが導入されていること。

ほか2項目は詳細ページへ

対象の版

Mobile builder：1.4.2以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

未公開・非公開・ゴミ箱に入れたコンテンツのメディア情報が外部に漏洩し、機密情報が第三者に知られる可能性がある。

自分は対象？

• Document Gallery プラグインのバージョンが 5.1.1 以下である場合に影響を受ける。

• 公式の対象表：Document Gallery。影響ありとして記載：5.1.1以下の版。個別に記されていない版の影響は、原資料でも未確定です。

対象の版

Document Gallery：5.1.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意の金額・寄付者名・メッセージで寄付が完了したと記録される可能性がある。

自分は対象？

• Coinsnap Bitcoin Crowdfunding WordPress プラグインのバージョンが 1.2.0 以下である場合。

• プラグインは webhook の認証シークレットへのアクセス制限を行わず、認証されていないユーザーがシークレットを取得できる。

ほか1項目は詳細ページへ

対象の版

Coinsnap Bitcoin Crowdfunding：1.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が購読者の管理キーを取得し、購読内容を無音で変更される可能性があります。

自分は対象？

• Subscribe to Comments プラグインのバージョンが 2.3.3 未満の場合に影響を受けます。

• プラグインはコメント投稿者を識別するために使用するクッキーを署名・検証せずに信頼しているため、偽のクッキーを作成できる未認証の攻撃者が利用できます。

ほか1項目は詳細ページへ

対象の版

Subscribe to Comments：2.3.3未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が SQL インジェクション攻撃を実行できる。

自分は対象？

• 支払いキーが設定されていないインストールでのみこの脆弱性が影響する。

• 公式の対象表：WX Subscribe 微信支付付费订阅。影響ありとして記載：1.2.1以下の版。個別に記されていない版の影響は、原資料でも未確定です。

対象の版

WX Subscribe 微信支付付费订阅：1.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が埋め込んだスクリプトがユーザーのブラウザーで実行される可能性があります。

自分は対象？

• User Profile Builder プラグインのバージョンが 4.0.3 以下であること。

• Email Confirmation 機能が有効になっていること。

ほか3項目は詳細ページへ

対象の版

User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor：4.0.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトを注入でき、被害者がそのページを閲覧したときにブラウザーでスクリプトが実行されます。

自分は対象？

• 未認証の攻撃者が 'redirect_url' パラメータを利用して任意のウェブスクリプトを注入できます。

• 影響を受けるのは Tutor LMS プラグインのバージョン4.0.8までです。

ほか3項目は詳細ページへ

対象の版

Tutor LMS – eLearning and online course solution：4.0.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は管理者アカウントを乗っ取り、フル管理者権限でサイトを操作できるようになります。

自分は対象？

• 認証済みで Subscriber 以上の権限を持ち、かつ有効な ONTRAPORT コンタクトと Customer Center の nonce を保持しているユーザーが攻撃対象となります。

• 影響を受けるのは PilotPress のバージョン 2.0.43 まで（含む）です。

ほか1項目は詳細ページへ

対象の版

PilotPress：2.0.43以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がサーバー上で任意のコードを実行できる可能性がある。

自分は対象？

• Search Regex プラグインのバージョン3.5までが影響を受ける。

• 認証済みのユーザーで、購読者（Subscriber）以上の権限が必要である。

ほか2項目は詳細ページへ

対象の版

Search Regex：3.5以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注入したスクリプトがユーザーのブラウザーで実行され、ページ上で任意の処理が行われる可能性があります。

自分は対象？

• バージョン 3.3.3 以下のすべての NotificationX プラグインは影響を受けます。

• 管理者が WordPress.org の Reviews キャンペーンを有効化し、public ページに notificationx‑pro/notificationx 動的ブロックを配置している場合に限り、攻撃が可能です。

ほか2項目は詳細ページへ

対象の版

NotificationX – FOMO, Live Sales Notification, WooCommerce Sales Popup, GDPR, Social Proof, Announcement Banner & Floating Notification Bar：3.3.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はデータベースから機密情報を抽出できる可能性があります。

自分は対象？

• 対象は WordPress 用プラグイン Vitepos – Point of Sale (POS) for WooCommerce の全バージョンで、バージョン 3.6.1 以下です。

• 攻撃者はベンダーレベル以上の認証済みユーザーである必要があります。

ほか2項目は詳細ページへ

対象の版

Vitepos – Point of Sale (POS) for WooCommerce：3.6.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーがそのページを閲覧すると、任意のウェブスクリプトが実行される可能性がある。

自分は対象？

• SiteOrigin CSSプラグインのバージョン1.6.7以下すべてが影響を受ける。

• 認証されていない攻撃者がコメントの「Website」フィールドにエンティティエンコードされたペイロードを入力できる。

ほか3項目は詳細ページへ

対象の版

SiteOrigin CSS：1.6.7以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のウェブスクリプトが実行され、ページ閲覧者のブラウザで不正な処理が行われる可能性があります。

自分は対象？

• WordPressサイトにSiteOrigin CSSプラグインがインストールされていること。

• プラグインのバージョンが1.6.7以下であること。

ほか3項目は詳細ページへ

対象の版

SiteOrigin CSS：1.6.7以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが攻撃者が埋め込んだリンクをクリックした際に、任意のウェブスクリプトが実行され、ページ上で不正な処理が行われる可能性があります。

自分は対象？

• Hide My WP Ghost – Security & Firewall プラグインのバージョン 7.0.12 以下は影響を受けます。

• 認証されていない攻撃者がコメント内容を通じて任意のウェブスクリプトを注入できる条件があります。

ほか1項目は詳細ページへ

対象の版

Hide My WP Ghost – Security & Firewall：7.0.12以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がサーバー上で任意のコードを実行できる可能性があります。

自分は対象？

• 対象は ELEX WordPress HelpDesk & Customer Ticketing System プラグインで、バージョン3.3.7以下のすべてのバージョンです。

• 認証されていない攻撃者が IMAP メールの添付ファイルを利用して任意のファイルをアップロードできます。

ほか1項目は詳細ページへ

対象の版

ELEX WordPress HelpDesk & Customer Ticketing System：3.3.7以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、管理者権限を持つ WordPress アカウントを取得できる可能性があります。

自分は対象？

• 対象プラグインは User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor のバージョン 4.0.3 以下である。

• `wppb_add_meta_to_user_on_activation()` 関数が、攻撃者が送信した `role` の値を許可リストなしで `WP_User::set_role()` に渡す。

ほか5項目は詳細ページへ

対象の版

User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor：4.0.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

キャッシュ汚染が起こり、任意のディレクトリが作成される可能性がありますが、PHP ファイルの書き込みやコード実行はできません。

自分は対象？

• WordPress 用プラグイン 10Web Booster のバージョン 2.34.5 以下が影響を受けます。

• 攻撃者は認証されていなくても利用可能です。

ほか7項目は詳細ページへ

対象の版

10Web Booster – Website speed optimization, Cache & Page Speed optimizer：2.34.5以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが注入されたページを閲覧した際に、任意のウェブスクリプトが実行される可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の "Salon Booking System – Appointment Booking for Salons, Barbershops & Spas" です。

• バージョン 10.31.9 まで（含む）のすべてのバージョンが影響を受けます。

ほか4項目は詳細ページへ

対象の版

Salon Booking System – Appointment Booking for Salons, Barbershops & Spas：10.31.9以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のショートコードが実行されるため、攻撃者が不正な処理をページ上で走らせることが可能になります。

自分は対象？

• Slim SEO プラグインのバージョン 4.11.1 以下すべてが影響を受けます。

• 影響を受けるには、Subscriber 以上の権限を持つ認証済みユーザーである必要があります。

ほか4項目は詳細ページへ

対象の版

Slim SEO – AI SEO Plugin, Lightweight, Fast & Automated：4.11.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。