使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者が他の顧客の請求先・配送先住所などの個人情報を読み取り、外部に漏洩させる可能性があります。

自分は対象？

• 対象は WordPress 用 FluentCart プラグインのバージョン 1.7.0 以下すべてです。

• 攻撃者は認証されていない状態で操作できます。

ほか5項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証された攻撃者がデータベースから機密情報を取得できる可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の Mail Mint（バージョン 1.31.4 以下）です。

• 影響を受けるバージョンは 1.31.4 までのすべてのリリースです。

ほか5項目は詳細ページへ

対象の版

Mail Mint – Email Marketing, Automation & WooCommerce Emails with AI Assistance：1.31.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が注入したスクリプトが、ページを閲覧したユーザーのブラウザーで実行されます。

自分は対象？

• Mang Board のバージョン 2.4.4 以下すべてが影響を受けます。

• 認証済みの攻撃者で、サブスクライバー以上の権限が必要です。

ほか3項目は詳細ページへ

対象の版

Mang Board：2.4.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が正しい認証情報を持たなくても、任意の WordPress ユーザー（管理者を含む）としてログインできる可能性があります。

自分は対象？

• 対象プラグインのバージョンが 5.5.8 以下であること。

• サイトが OTP のみログインを有効にしていること（`wp_login_skip_password=1`、`wp_login_skip_password_fallback=0`）。

ほか4項目は詳細ページへ

対象の版

miniOrange OTP Login, Verification and SMS Notifications：5.5.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のショートコードが実行されることで、サイト上に不正なコンテンツが挿入されたり、他のプラグインやテーマが提供する情報が漏洩したりする可能性があります。

自分は対象？

• Forminator Forms プラグインのバージョンが 1.58.1 以下であること。

• クイズ機能を使用し、通知テンプレートに {quiz_result} マージタグが含まれていること。

ほか5項目は詳細ページへ

対象の版

Forminator Forms – Contact Form, Payment Form & Custom Form Builder：1.58.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

実行可能なファイルがアップロードされると、攻撃者はサーバー上で任意のコードを実行できるため、システムの制御が奪われる危険があります。

自分は対象？

• 攻撃者は認証されていなくても利用可能であること（未認証の攻撃者が対象）。

• プラグインがゲスト投稿を許可する設定（デフォルト設定）になっていること。

ほか2項目は詳細ページへ

対象の版

Mang Board：2.4.4

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が任意のショートコードを実行でき、サイト上で予期しない処理が行われる可能性があります。

自分は対象？

• 対象プラグインのバージョンが 2.4.14.1 以下であること。

• 攻撃者は認証されていないユーザーであること。

ほか4項目は詳細ページへ

対象の版

Broken Link Checker：2.4.14.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が顧客のパスワードを変更できるため、顧客としてログインでき、限定的なアカウント乗っ取りが起こる可能性がある。

自分は対象？

• 対象プラグインは WordPress 用の Dokan: AI Powered WooCommerce Multivendor Marketplace Solution である。

• バージョンは 5.2.1 以下すべてが影響を受ける（5.2.1 を含む）。

ほか4項目は詳細ページへ

対象の版

Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy：5.2.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が保存したスクリプトが、ページを表示した人のブラウザーで不正に実行されます。

自分は対象？

• Colibri Page Builder プラグインのバージョン 1.0.390 以下はすべて影響を受けます。

• 認証されていない攻撃者がコメントパラメータを通じてスクリプトを注入できます。

ほか4項目は詳細ページへ

対象の版

Colibri Page Builder：1.0.390以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトを注入でき、ページを閲覧したユーザーのブラウザーでそのスクリプトが実行される可能性がある。

自分は対象？

• 影響を受けるバージョンは 5.2.11 までのすべてのバージョンである。

• 認証されていない攻撃者でもこの脆弱性を利用できる。

ほか3項目は詳細ページへ

対象の版

RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator：5.2.11以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルを読み取られることで、機密情報が漏洩する可能性があります。

自分は対象？

• プラグインのバージョンが 1.3.0 以下（1.3.0 を含む）である場合に影響を受けます。

• サイト管理者が Optimize CSS 機能を有効にし、デフォルトの Inline Google Fonts オプションが有効になっている必要があります。

ほか3項目は詳細ページへ

対象の版

Debloat – Remove Unused CSS, Optimize JS：1.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が、未確認の WordPress アカウント（管理者レベルを含む）としてログインできるようになる可能性があります。

自分は対象？

• 対象プラグインは Customer Email Verification for WooCommerce である。

• 影響を受けるバージョンは 3.3.0 以下（3.3.0 を含む）である。

ほか10項目は詳細ページへ

対象の版

Customer Email Verification for WooCommerce：3.3.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が埋め込んだ任意のウェブスクリプトが、ページを閲覧したユーザーのブラウザーで実行されます。

自分は対象？

• 対象プラグインのバージョンが 7.5.5 以下であること。

• WordPress 環境で yotu-wp Cookie-Blocker フィルタが有効になっていること。

ほか5項目は詳細ページへ

対象の版

Complianz GDPR/CCPA Cookie Consent Banner：7.5.5以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がデータベースの権限で任意のデータを書き換え、default_role を administrator に変更しオープンユーザー登録を有効にできるため、以後登録されるアカウントが自動的に管理者権限を取得し、サイト全体が乗っ取られる可能性があります。

自分は対象？

• Backuply – Backup, Restore, Migrate and Clone プラグインのすべてのバージョン（1.5.8 以下）が影響を受けます。

• 攻撃者はサブスクライバー以上の認証済みユーザーである必要があります。

ほか7項目は詳細ページへ

対象の版

Backuply – Backup, Restore, Migrate and Clone：1.5.8以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ユーザーが該当ページを閲覧した際に、攻撃者が埋め込んだ不正なスクリプトが実行される可能性があります。

自分は対象？

• 対象プラグインは WordPress 用の "Flying Scripts: Delay JavaScript to Improve Site Speed & Performance" です。

• バージョン 1.2.4 以下のすべてのリリースが影響を受けます。

ほか6項目は詳細ページへ

対象の版

Flying Scripts: Delay JavaScript to Improve Site Speed & Performance：1.2.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はデータベースに対して任意の SQL クエリを実行できるため、機密情報が漏洩する恐れがあります。

自分は対象？

• バージョン 1.7.0 まで（それを含む）のすべてのリリースが影響を受けます。

• 認証済みで custom‑level 以上の権限を持つ攻撃者がこの脆弱性を利用できます。

ほか2項目は詳細ページへ

対象の版

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler：1.7.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

埋め込まれたスクリプトがページを表示した人のブラウザーで実行され、閲覧者のブラウザー上で不正な処理が行われる可能性があります。

自分は対象？

• 対象プラグイン：Cooked – Recipe Management（WordPress 用）

• 影響を受けるバージョン：1.16.1 以下のすべてのバージョン

ほか3項目は詳細ページへ

対象の版

Cooked – Recipe Management：1.16.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のウェブスクリプトをページに埋め込めるため、ページを閲覧したユーザーのブラウザーで不正な処理が実行されます。

自分は対象？

• 認証済みの攻撃者が Contributor レベル以上の権限を持っている場合に、'icon_light' ショートコード属性を利用してスクリプトを注入できます。

• 公式の対象表：wppool / Dark Mode – Improve Accessibility with AI Powered Dark Theme。影響ありとして記載：5.3.17以下の版。

対象の版

Dark Mode – Improve Accessibility with AI Powered Dark Theme：5.3.17以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意のショートコードを実行できるため、サーバー上の任意のデータを取得したり、サイトにインストールされている他のショートコードが提供する機能を悪用される可能性があります。

自分は対象？

• 未認証の攻撃者が Client-IP、X-Forwarded-For、Forwarded、X-Forwarded、Forwarded-For ヘッダーを操作できる。

• プラグインの ays_popup_get_user_ip() 関数がこれらヘッダーを sanitize_text_field() だけでサニタイズする。

ほか5項目は詳細ページへ

対象の版

Popup Box – Create Countdown, Coupon, Video, Contact Form Popups：>= 6.4.1 / <= 6.4.2

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

ページを表示した人のブラウザーで不正な処理が実行される可能性があります。

自分は対象？

• Motors – Car Dealership & Classified Listings Plugin のバージョン 1.4.124 以下すべてが影響を受けます。

• Subscriber 以上の権限を持つ認証済みユーザーが攻撃を実行できます。

ほか2項目は詳細ページへ

対象の版

Motors – Car Dealership & Classified Listings Plugin：1.4.124以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。