使っている製品の、危険と対策がわかる。

どんな危険？

ユーザーが該当ページを閲覧した際に、攻撃者が埋め込んだ不正なスクリプトが実行される可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の "Flying Scripts: Delay JavaScript to Improve Site Speed & Performance" です。

• バージョン 1.2.4 以下のすべてのリリースが影響を受けます。

ほか6項目は詳細ページへ

対象の版

Flying Scripts: Delay JavaScript to Improve Site Speed & Performance：1.2.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はデータベースに対して任意の SQL クエリを実行できるため、機密情報が漏洩する恐れがあります。

自分は対象？

• バージョン 1.7.0 まで（それを含む）のすべてのリリースが影響を受けます。

• 認証済みで custom‑level 以上の権限を持つ攻撃者がこの脆弱性を利用できます。

ほか2項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

埋め込まれたスクリプトがページを表示した人のブラウザーで実行され、閲覧者のブラウザー上で不正な処理が行われる可能性があります。

自分は対象？

• 対象プラグイン：Cooked – Recipe Management（WordPress 用）

• 影響を受けるバージョン：1.16.1 以下のすべてのバージョン

ほか3項目は詳細ページへ

対象の版

Cooked – Recipe Management：1.16.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトをページに埋め込めるため、ページを閲覧したユーザーのブラウザーで不正な処理が実行されます。

自分は対象？

• 認証済みの攻撃者が Contributor レベル以上の権限を持っている場合に、'icon_light' ショートコード属性を利用してスクリプトを注入できます。

• 公式の対象表：wppool / Dark Mode – Improve Accessibility with AI Powered Dark Theme。影響ありとして記載：5.3.17以下の版。

対象の版

Dark Mode – Improve Accessibility with AI Powered Dark Theme：5.3.17以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のショートコードを実行できるため、サーバー上の任意のデータを取得したり、サイトにインストールされている他のショートコードが提供する機能を悪用される可能性があります。

自分は対象？

• 未認証の攻撃者が Client-IP、X-Forwarded-For、Forwarded、X-Forwarded、Forwarded-For ヘッダーを操作できる。

• プラグインの ays_popup_get_user_ip() 関数がこれらヘッダーを sanitize_text_field() だけでサニタイズする。

ほか5項目は詳細ページへ

対象の版

Popup Box – Create Countdown, Coupon, Video, Contact Form Popups：>= 6.4.1 / <= 6.4.2

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

ページを表示した人のブラウザーで不正な処理が実行される可能性があります。

自分は対象？

• Motors – Car Dealership & Classified Listings Plugin のバージョン 1.4.124 以下すべてが影響を受けます。

• Subscriber 以上の権限を持つ認証済みユーザーが攻撃を実行できます。

ほか2項目は詳細ページへ

対象の版

Motors – Car Dealership & Classified Listings Plugin：1.4.124以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性が悪用されると、サーバーや機器に攻撃者の命令を実行させられる（リモートコード実行）恐れがあります。

自分は対象？

• 攻撃者は認証されていない状態であること。

• サーバー側と使用中のテーマが、`get_page_template()` が外部のローカル `.php` ファイルを読み込むことを許可する設定になっていること。

ほか3項目は詳細ページへ

対象の版

WordPress：7.1.2未満

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

攻撃者が ai1wm_secret_key を取得しリモートコード実行を行えるため、サーバー上で任意のコードが実行され、サイトが完全に制御される可能性があります。

自分は対象？

• 攻撃者は認証されていない状態で攻撃を行える。

• 対象プラグインは All-in-One WP Migration and Backup のバージョン 7.109 以下である。

ほか3項目は詳細ページへ

対象の版

All-in-One WP Migration and Backup：7.109以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

PHP オブジェクトインジェクションの脆弱性が存在します。

自分は対象？

• 攻撃者は購読者（Subscriber）権限を持つユーザーである必要があります。

• 対象となるプラグインのバージョンは 2.0.63 以下です。

ほか1項目は詳細ページへ

対象の版

ACPT (Pro) - Custom Post Types Plugin for WordPress：>= n/a / <= 2.0.63

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がローカルファイルをインクルードできる可能性があります。

自分は対象？

• MagicAI for WordPressプラグインのバージョンが1.4以下で、WordPressのSubscriber権限を持つユーザーが対象です。

• 公式の対象表：LiquidThemes / MagicAI for WordPress - AI Text, Image, Chat, Code, and Voice Generator。影響ありとして記載：1.4以下（原資料では開始版が未指定）。

対象の版

MagicAI for WordPress - AI Text, Image, Chat, Code, and Voice Generator：>= n/a / <= 1.4

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者は認証なしで任意のローカルファイルをインクルードできる可能性があります。

自分は対象？

• 対象は WP Cafe Pro プラグインのバージョンが 3.0.15 未満であること。

• 攻撃を行うために認証は不要です。

ほか1項目は詳細ページへ

対象の版

WP Cafe Pro：>= n/a / < 3.0.15 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 3.0.15から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

機密情報が漏洩する可能性があります。

自分は対象？

• 認証されていない攻撃者が、WP Cafe Proプラグインのバージョン3.0.15未満を使用している場合に影響を受けます。

• 公式の対象表：WPCafe / WP Cafe Pro。影響ありとして記載：3.0.15未満（原資料では開始版が未指定）。途中の変更：3.0.15から影響なし。

対象の版

WP Cafe Pro：>= n/a / < 3.0.15 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 3.0.15から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

この脆弱性により、攻撃者はサイト全体のテーマカラー設定を改ざんでき、サイトの外観が書き換えられる（サイト改ざん）可能性があります。

自分は対象？

• 攻撃者は認証済みで、Contributor（貢献者）以上の権限を持っている必要があります。

• 対象となる機能は 'gspb_update_global_wp_settings' で、権限チェックが 'edit_posts' のみであることが前提です。

ほか1項目は詳細ページへ

対象の版

Greenshift – animation and page builder blocks：12.8.9以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が任意のユーザーとしてログインできる可能性があります。

自分は対象？

• 対象は WordPress 用プラグイン「Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code」のバージョン 4.8.6 以下です。

• 攻撃者は認証されていない状態で、対象ユーザーのメールアドレスを知っている必要があります。

ほか2項目は詳細ページへ

対象の版

Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code：4.8.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はサーバー上で任意のコードを実行できる可能性があります。

自分は対象？

• 認証されていないユーザーがファイルをアップロードでき、かつファイル名に制御文字を含めることで、プラグインのファイル名検証を回避できる場合にこの脆弱性が成立します。

• 公式の対象表：Drag and Drop Multiple File Upload for Contact Form 7。影響ありとして記載：1.3.9.9未満の版。

対象の版

Drag and Drop Multiple File Upload for Contact Form 7：1.3.9.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のウェブスクリプトがフロントエンドのアップロードフィールドが表示されるページで実行され、閲覧者のブラウザーで不正な処理が行われる可能性があります。

自分は対象？

• 管理者権限を持つユーザーが drag_n_drop_heading_tag 設定を変更できることが前提です。また、プラグインがフロントエンドでアップロードフィールドを表示するページで HTML タグ名としてその設定値を出力します。

• 公式の対象表：Drag and Drop Multiple File Upload for Contact Form 7。影響ありとして記載：1.3.9.9未満の版。

対象の版

Drag and Drop Multiple File Upload for Contact Form 7：1.3.9.9未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のユーザーの会員プランの詳細が外部に漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 3.1.2 未満であること。

• WordPress の REST API が有効化されていること。

ほか4項目は詳細ページへ

対象の版

Membership For WooCommerce：3.1.2未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この問題により、顧客の氏名や予約日時、予約のステータスといった機密情報が、権限の低い投稿者レベルのユーザーに漏洩する可能性があります。

自分は対象？

• 対象となるのは、Easy Appointmentsプラグインのバージョン3.12.28から4.0.1未満のすべてのリリースです。

• 影響を受けるのは、WordPressサイト上で「投稿者（contributor）以上」の権限を持つユーザーが、予約一覧を取得するRESTエンドポイントにアクセスした場合です。

ほか1項目は詳細ページへ

対象の版

Easy Appointments：3.12.28以上・4.0.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者のセッション内で不正なスクリプトが実行され、管理者が意図しない操作や情報漏洩が起こる可能性があります。

自分は対象？

• 対象製品は ProSolution WP Client プラグインで、バージョンが 2.0.11 未満のものです。

• 影響は管理者用ページの 'page' パラメータが HTML 属性にそのまま反映されるケースに限られます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ページを表示した人のブラウザーで不正なスクリプトが実行される可能性があります。

自分は対象？

• ProSolution WP Client のバージョンが 2.0.11 未満のすべてのインストールが影響を受けます。

• 影響を受けるのは、プラグインの公開ページを閲覧するすべての訪問者で、ログイン中の管理者も含まれます。

ほか1項目は詳細ページへ

対象の版

ProSolution WP Client：2.0.11未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。