使っている製品の、危険と対策がわかる。

どんな危険？

悪意あるJavaScriptがSVGを閲覧したユーザーのブラウザで実行され、ページ上で不正な操作が可能になる可能性があります。

自分は対象？

• JetEngineプラグインのバージョンが3.8.14未満であること。

• WordPressにJetEngineプラグインがインストールされていること。

ほか4項目は詳細ページへ

対象の版

JetEngine：3.8.14未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

訪問者のブラウザーで任意のスクリプトが実行される可能性があります。

自分は対象？

• Simple File Listプラグインのバージョンが6.3.11以下であること。

• フロントエンドのファイル管理機能が有効になっていること。

ほか2項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性により、機密情報が漏洩し、サイトが乗っ取られる可能性があります。

自分は対象？

• 対象製品は WordPress 用 Simple File List プラグインです。

• バージョン 6.3.11 以下が影響を受けます。

ほか4項目は詳細ページへ

対象の版

Simple File List：6.3.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が細工したリンクを開いた管理者などのログインユーザーのブラウザーで不正なスクリプトが実行される可能性がある。

自分は対象？

• NextScripts: Social Networks Auto-Poster WordPress プラグインのバージョンが 4.4.8 未満である場合に影響を受ける。

• 攻撃は、管理者などのログイン済みユーザーが細工されたリンクを開くことで実行される。

ほか1項目は詳細ページへ

対象の版

NextScripts: Social Networks Auto-Poster：4.4.8未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注文合計やベンダーの収益・残高・出金履歴といった財務情報を取得できるため、機密性が失われる。

自分は対象？

• 対象は YayCurrency プラグインのバージョンが 3.3.5 未満である WordPress 環境。

• 影響を受けるのは、認証されていないユーザーがアクセスできるマルチベンダー統合ハンドラである。

ほか1項目は詳細ページへ

対象の版

YayCurrency：3.3.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

権限の高いユーザーのブラウザーで不正なスクリプトが実行され、ページ上で任意の操作が可能になる可能性がある。

自分は対象？

• Easy Media Replaceプラグインのバージョンが0.2.0以下であること。

• WordPressのメディアライブラリ一覧画面が使用されていること。

ほか4項目は詳細ページへ

対象の版

Easy Media Replace：0.2.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者により任意のユーザーが自分のアカウントにログインできなくなり、管理者でさえロックアウトされる可能性があります。

自分は対象？

• WordPress に User Verification by PickPlugins プラグインがインストールされ、バージョンが 2.0.47 以下である環境。

• 認証されていない外部から、任意のユーザー ID を指定して検証メール再送リクエストを送信できる状態。

ほか1項目は詳細ページへ

対象の版

User Verification by PickPlugins：2.0.47以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は他のユーザーが作成したクイズのメール通知先アドレスなどの設定情報を取得できる。

自分は対象？

• 対象は Quiz and Survey Master (QSM) の WordPress プラグインで、バージョンが 11.2.4 未満であること。

• 影響を受ける機能は、クイズのメール通知設定および結果ページ設定を返す REST ルートである。

ほか4項目は詳細ページへ

対象の版

Quiz and Survey Master (QSM)：11.2.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者は他のユーザーが作成したクイズの表示テキストを任意に書き換えることができる。

自分は対象？

• 対象は WordPress 用プラグイン「Quiz and Survey Master」。

• バージョンが 11.2.4 未満のものが影響を受ける。

ほか2項目は詳細ページへ

対象の版

Quiz and Survey Master (QSM)：11.2.4未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者が提出された予約の SVG を開くと、任意の JavaScript が実行され、管理者のセッションが乗っ取られる可能性があります。

自分は対象？

• 認証されていない攻撃者が SVG ファイルをアップロードできる

• 管理者が提出された予約の SVG を開くと、任意の JavaScript が実行される

ほか1項目は詳細ページへ

対象の版

Booking calendar, Appointment Booking System：>= 3.2.18 / <= 3.2.36

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

この脆弱性により、攻撃者が保存したスクリプトが匿名訪問者のブラウザーで実行され、ページ上で任意の JavaScript が動作します。

自分は対象？

• 対象製品は 10Web Booster（WordPress プラグイン）です。

• バージョンが 2.33.5 未満のすべてのリリースが影響を受けます。

ほか5項目は詳細ページへ

対象の版

10Web Booster：2.33.5未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他ベンダーのストアにあるレビューが改ざんされたり、完全に削除されたりする可能性がある。

自分は対象？

• WCFM Marketplaceプラグインを使用しているWordPressサイトで、ベンダーがレビューの承認取り消しまたは削除を行える権限を持つ場合に影響する。

• 対象バージョンは3.8.1未満（semverで表記）。

ほか1項目は詳細ページへ

対象の版

WCFM Marketplace：3.8.1未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザーが作成したスケジュールエントリが不正に変更または削除される可能性がある。

自分は対象？

• WordPress 用 Eventin プラグインのバージョンが 4.1.21 未満であること。

• 貢献者（contributor）レベル以上のアクセス権を持つユーザーが対象になること。

ほか1項目は詳細ページへ

対象の版

Eventin：4.1.21未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザーのアカウントが永久に削除され、復元できなくなる可能性がある。

自分は対象？

• Eventin WordPress プラグインのバージョンが 4.1.21 未満で、貢献者レベル以上の権限を持つユーザーが対象。

• 公式の対象表：Eventin。影響ありとして記載：4.1.21未満の版。

対象の版

Eventin：4.1.21未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザーのロールやメタデータが不正に変更される可能性があります。

自分は対象？

• Eventin プラグインのバージョンが 4.1.21 未満であること。

• スピーカー作成機能を使用する際、現在のユーザーが contributor 以上の権限を持っていること。

ほか1項目は詳細ページへ

対象の版

Eventin：4.1.21未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

他のユーザー（管理者を含む）が作成したイベントが、不正に変更、削除、所有者の乗っ取りが可能になる。

自分は対象？

• Eventin WordPress プラグインのバージョンが 4.1.21 未満であること。

• プラグインがイベントの所有者を正しく検証しないこと。

ほか2項目は詳細ページへ

対象の版

Eventin：4.1.21未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていないユーザーがデータベースを不正に操作し、テーブルを切り捨ててプラグインのデータを消去できる可能性がある。

自分は対象？

• プラグインのバージョンが1.18以下であること。

• 認証されていないユーザーがプラグインに入力できる状況であること。

ほか3項目は詳細ページへ

対象の版

Dinatur：1.18以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルを読み取られ、PHP 以外のファイルを書き換えられることで、管理者アカウントが乗っ取られ、サイト全体が侵害される恐れがある。

自分は対象？

• Advanced File Manager WordPress プラグインのバージョンが 5.4.13 未満である場合に影響を受ける。

• 管理者がファイルマネージャー権限を付与した任意のユーザー（購読者レベルでも可）がこの脆弱性を利用できる。

ほか1項目は詳細ページへ

対象の版

Advanced File Manager：5.4.13未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルが削除され、wp-config.php など重要なファイルが削除されるとサーバー上で攻撃者がコードを実行できる可能性があります。

自分は対象？

• Atarim プラグインのバージョンが 5.1.1 以下であること。

• 攻撃者が認証済みで、author 権限以上を持っていること。

ほか4項目は詳細ページへ

対象の版

Atarim – AI Agency for WordPress: Edit Pages, Fix Code, Update Plugins, SEO & Client Feedback：5.1.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が埋め込んだスクリプトがユーザーのブラウザーで実行され、ページ上で不正な処理が行われる可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の「Speed Optimizer – The All-In-One Performance-Boosting Plugin」です。

• 影響を受けるバージョンは 7.8.0 以下のすべてのバージョンです。

ほか3項目は詳細ページへ

対象の版

Speed Optimizer – The All-In-One Performance-Boosting Plugin：7.8.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。