使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者が注入したスクリプトがページを閲覧したユーザーのブラウザーで実行され、任意の操作や情報漏洩が起こる可能性がある。

自分は対象？

• 対象は Opti-Behavior – Self-Hosted Heatmaps, Funnels, A/B Testing & Smart Insights プラグインのバージョン 1.9.2.1 以下（1.9.2.1 を含む）である。

• 攻撃は認証されていない攻撃者でも実行可能である。

ほか3項目は詳細ページへ

対象の版

Opti-Behavior – Self-Hosted Heatmaps, Funnels, A/B Testing & Smart Insights：1.9.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が W3 Total Cache のセキュリティキーを取得できるため、機密情報が漏洩し、さらに任意の PHP コードが実行される恐れがあります。

自分は対象？

• 対象プラグインのバージョンが 1.19 以下（1.19 を含む）である場合に脆弱です。

• W3 Total Cache プラグインが同じ WordPress 環境にインストールされていることが、コード注入が可能になる条件です。

ほか1項目は詳細ページへ

対象の版

Lightweight Cookie Notice – Cookie Banner for Cookie Consent：1.19以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がユーザーのパスワードを変更できるため、対象ユーザーのアカウントを乗っ取られる可能性があります。

自分は対象？

• WordPress のマルチサイト構成で Theme My Login プラグインを使用している場合に影響します。

• 影響を受けるバージョンは 7.2.1 以下（0 から 7.2.1 まで）です。

ほか1項目は詳細ページへ

対象の版

Theme My Login：7.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

サーバー上の任意のファイルの内容が読み取られ、機密情報が漏洩する可能性がある。

自分は対象？

• Tainacanプラグイン（WordPress用）のバージョン1.3.0以下が影響を受ける。

• 影響を受けるバージョンは 1.3.0 を含むすべてのバージョンである。

ほか4項目は詳細ページへ

対象の版

Tainacan：1.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが攻撃者が注入したページを閲覧した際に、任意のウェブスクリプトが実行される可能性があります。

自分は対象？

• 影響を受けるのは、Opti-Behavior – Self-Hosted Heatmaps, Funnels, A/B Testing & Smart Insights のバージョン 1.9.2.1 以下すべてです。

• 'targetUrl' パラメータが入力されても、十分なサニタイズやエスケープが行われません。

ほか5項目は詳細ページへ

対象の版

Opti-Behavior – Self-Hosted Heatmaps, Funnels, A/B Testing & Smart Insights：1.9.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注入したスクリプトがページを閲覧したユーザーのブラウザーで実行され、特に管理者のセッションがサポートやトラブルシューティング時に乗っ取られる可能性がある。

自分は対象？

• 対象プラグインは WordPress 用の Simply Schedule Appointments である。

• バージョン 1.6.12.35 以下（含む）のすべてのバージョンが影響を受ける。

ほか3項目は詳細ページへ

対象の版

Simply Schedule Appointments：1.6.12.35以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーのブラウザーで不正なスクリプトが実行され、ページ上で任意の操作が行われる可能性があります。

自分は対象？

• 対象プラグインは「Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental」である。

• 影響を受けるバージョンは 3.0.1 以下（3.0.1 を含む）である。

ほか5項目は詳細ページへ

対象の版

Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental：3.0.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ページが表示されるたびに、埋め込まれたスクリプトが実行されるため、閲覧者のブラウザーで不正な処理が行われる可能性があります。

自分は対象？

• プラグイン「User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor」のバージョンが 4.0.3 以下である。

• 攻撃者が WordPress に subscriber 以上の権限で認証済みである。

ほか3項目は詳細ページへ

対象の版

User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor：4.0.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が埋め込んだ任意のウェブスクリプトが、ページを閲覧したユーザーのブラウザーで実行され、情報漏洩や操作が行われる可能性があります。

自分は対象？

• 影響を受けるのは、Ultra Addons for Contact Form 7 のバージョン 0（プレースホルダー）から 3.5.54 までのすべてのバージョンです。

• 認証されていない攻撃者でもこの脆弱性を利用できます。

ほか3項目は詳細ページへ

対象の版

Ultra Addons for Contact Form 7：3.5.54以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

埋め込まれたスクリプトが閲覧者のブラウザーで実行され、編集者や管理者など高権限ユーザーの操作が乗っ取られる可能性があります。

自分は対象？

• 影響を受けるのは「Quick PayPal Payments: Payment Button & Form」プラグインのバージョン 6.0.4 以下すべてです。

• 攻撃を行えるのは、貢献者（Contributor）以上の権限を持つ認証済みユーザーです。

ほか1項目は詳細ページへ

対象の版

Quick PayPal Payments: Payment Button & Form：6.0.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

注入されたウェブスクリプトが実行され、ページを閲覧したユーザーのブラウザーで不正な処理が動かされる可能性があります。

自分は対象？

• SQL Chart Builder プラグインのバージョン 3.0.6 以下が対象です。

• 認証済みの攻撃者で、購読者レベル以上の権限を持つユーザーが攻撃できます。

ほか3項目は詳細ページへ

対象の版

SQL Chart Builder：3.0.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が仕込んだ任意のウェブスクリプトが、ページを閲覧したユーザーのブラウザーで実行されます。

自分は対象？

• バージョン 1.67 以下のすべてのリリースが影響を受けます。

• プラグインは 'saswp_review_text' パラメータを介した保存型 XSS に脆弱です。

ほか7項目は詳細ページへ

対象の版

Schema & Structured Data for WP & AMP：1.67以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルが削除され、たとえば wp-config.php を削除するとサーバー上で攻撃者のコードが実行される可能性がある。

自分は対象？

• バージョン 4.9.3 以下のすべてのリリースが影響を受ける。

• 認証済みで Sales Representative 以上の権限を持つユーザーが攻撃可能である。

ほか2項目は詳細ページへ

対象の版

Groundhogg — CRM, Newsletters, and Marketing Automation：4.9.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、公開されているすべてのギャラリーのパスワード保護用パスワードとユーザー名を平文で取得できる可能性があります。

自分は対象？

• WordPress 用プラグイン「Modula Image Gallery – Photo Grid & Video Gallery」のバージョン 3.0.11 までが影響を受けます。

• REST API の /wp‑json/wp/v2/modula-gallery/{id}（またはコレクションルート）で、modulaSettings フィールドが認可チェックなしで公開されます。

ほか1項目は詳細ページへ

対象の版

Modula Image Gallery – Photo Grid & Video Gallery：3.0.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は管理者アカウント（ユーザー ID 1）の認証情報を書き換え、wp‑admin へのフルアクセス権を取得できる。

自分は対象？

• My Calendar – Accessible Event Manager プラグインのバージョン 3.8.7 以下（3.8.7 を含む）すべてが影響を受ける。

• プラグインが有効化されると、自動生成される `/my-calendar/` ページがデフォルトで公開され、誰でもアクセスできる。

ほか7項目は詳細ページへ

対象の版

My Calendar – Accessible Event Manager：3.4.24以下My Calendar – Accessible Event Manager：>= 3.5 / <= 3.5.21My Calendar – Accessible Event Manager：>= 3.6 / <= 3.6.17My Calendar – Accessible Event Manager：>= 3.7 / <= 3.7.17My Calendar – Accessible Event Manager：>= 3.8 / <= 3.8.7

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者が任意のウェブスクリプトをページに埋め込めるため、ユーザーがリンクをクリックすると不正な処理が実行されます。

自分は対象？

• WordPress 用プラグイン Gwolle Guestbook のバージョン 5.1.1 以下すべてが影響を受けます。

• 公式の対象表：mpol / Gwolle Guestbook。影響ありとして記載：5.1.1以下の版。

対象の版

Gwolle Guestbook：5.1.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証済みの攻撃者がページや一括生成プロセスを勝手に作成・変更・削除できるため、サイトのコンテンツが不正に書き換えられ、運営者の意図しない情報が公開されたり削除されたりする可能性があります。

自分は対象？

• 影響を受けるのはバージョン 3.1.0 までのすべての Bulk Page Generator – LPagery のバージョンです。

• 攻撃者はサブスクライバー以上の認証済みユーザーである必要があります。

ほか2項目は詳細ページへ

対象の版

Bulk Page Generator – LPagery：3.1.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が注文の secret order_key と顧客の氏名・メールアドレス・電話番号・住所などの個人情報を取得でき、店舗全体の注文情報が漏洩する可能性があります。

自分は対象？

• 影響を受けるのは、Klarna for WooCommerce プラグインのバージョン 4.13.3 以下（4.13.3 を含む）です。

• この脆弱性は、WordPress 上で動作する Klarna for WooCommerce プラグイン全体に存在します。

ほか4項目は詳細ページへ

対象の版

Klarna for WooCommerce：4.13.3以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が順番に増える注文 ID を送信するだけで、WooCommerce の任意の注文に対する請求情報（氏名、住所、メールアドレス、電話番号）を取得できる可能性があります。

自分は対象？

• この欠陥は、バージョン 3.16.0.6 を含むそれ以前のすべての FunnelKit – Funnel Builder Plugin for WooCommerce Checkout に影響します。

• なお、サイトに FunnelKit のサンキューページが存在し、[wfty_order_meta] または [wfty_order_total] ショートコードが表示されている場合にのみ悪用可能です。

ほか1項目は詳細ページへ

対象の版

FunnelKit – Funnel Builder Plugin for WooCommerce Checkout：3.16.0.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証済みの攻撃者が自分のアカウントを管理者に昇格させることができ、サイト全体を制御できるようになる可能性があります。

自分は対象？

• 対象製品は WordPress 用プラグイン Nexter Extension – Security, Performance, Code Snippets & Site Toolkit で、バージョン 4.7.11 以下のすべてのバージョンが影響を受けます。

• 公式の対象表：posimyththemes / Nexter Extension – Security, Performance, Code Snippets & Site Toolkit。影響ありとして記載：4.7.11以下の版。

対象の版

Nexter Extension – Security, Performance, Code Snippets & Site Toolkit：4.7.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。