使っている製品の、危険と対策がわかる。

どんな危険？

認証なしで攻撃者が SQL インジェクションを実行できる可能性があります。

自分は対象？

• 認証なしで攻撃が可能です。

• 公式の対象表：miniOrange / WP OAuth Server。影響ありとして記載：6.2.0以下（原資料では開始版が未指定）。途中の変更：6.2.1から影響なし。

対象の版

WP OAuth Server：>= n/a / <= 6.2.0 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 6.2.1から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者は任意の WordPress ユーザーとして認証されたセッションを取得できるため、サイトや管理画面への不正アクセスが可能になります。

自分は対象？

• 攻撃者は認証されていない状態であることが前提です。

• Apple の id_token を偽造し、ペイロードに対象ユーザーのメールアドレスを含める必要があります。

ほか3項目は詳細ページへ

対象の版

WooCommerce - Social Login：2.8.7以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

この脆弱性により、機密情報が外部に漏洩する恐れがあります。

自分は対象？

• 公式の対象表：Flipper Code / WP Maps。影響ありとして記載：4.9.6以下（原資料では開始版が未指定）。途中の変更：4.9.7から影響なし。

対象の版

WP Maps：>= n/a / <= 4.9.6 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.9.7から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がこの脆弱性を利用すると、サーバー上で任意の PHP コードが実行され、サイトやサーバーが完全に制御される可能性があります。

自分は対象？

• 認証済みユーザーで権限が Subscriber 以上であること、eco_save_settings() が権限チェックと nonce 検証を行わないこと、tc_eco_custom_file_types のアップロード許可リストを変更できること、wc_eco_upload_file AJAX アクションで十分な権限確認が行われないこと、フロントエンドのカート・チェックアウトページに公開されているアップロード nonce を使用できること、PHP ファイルのアップロードが許可されていること、これらの条件がすべて満たされた場合にリモートコード実行が可能になる。

• 公式の対象表：ThemeComplete / Extra Checkout Options - addon for Extra Product Options plugin。影響ありとして記載：2.3.2以下の版。

対象の版

Extra Checkout Options - addon for Extra Product Options plugin：2.3.2以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

認証されていない攻撃者が任意の投稿やページを削除できる。

自分は対象？

• 攻撃者は認証されていない状態である。

• 対象となるプラグインは Meta Box AIO のバージョン 3.8.0 以下である。

ほか6項目は詳細ページへ

対象の版

Meta Box AIO：3.8.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

記載されている具体的な被害はありません。

自分は対象？

• WP Google Review Slider のバージョン 18.4 以下が対象です。

• 攻撃者は認証されていなくても利用できます。

ほか1項目は詳細ページへ

対象の版

WP Google Review Slider：>= n/a / <= 18.4 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 18.5から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

SQL インジェクションが可能になる。

自分は対象？

• 管理者権限でプラグインを操作できるユーザーが対象です。

• 公式の対象表：jgwhite33 / WP Google Review Slider。影響ありとして記載：18.4以下（原資料では開始版が未指定）。途中の変更：18.5から影響なし。

対象の版

WP Google Review Slider：>= n/a / <= 18.4 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 18.5から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

機密情報が不正な第三者に取得される恐れがあります。

自分は対象？

• 認証が不要で、MapPress Maps for WordPress プラグインの 2.97.6 以下のバージョンがインストールされている環境。

• 公式の対象表：chrisvrichardson / MapPress Maps for WordPress。影響ありとして記載：2.97.6以下（原資料では開始版が未指定）。途中の変更：2.97.7から影響なし。

対象の版

MapPress Maps for WordPress：>= n/a / <= 2.97.6 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 2.97.7から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がサブスクライバー権限で SQL インジェクションを実行し、データベースに不正なクエリを送信できる可能性があります。

自分は対象？

• 対象は WordPress 用 rtMedia for WordPress, BuddyPress, bbPress プラグインのバージョン 4.7.10 以下がインストールされている環境です。

• 攻撃者はサブスクライバー権限のユーザーである必要があります。

ほか1項目は詳細ページへ

対象の版

rtMedia for WordPress, BuddyPress and bbPress：>= n/a / <= 4.7.10 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.7.11から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

SQL インジェクションが可能になる。

自分は対象？

• 認証されていない攻撃者が利用できる。

• 公式の対象表：rtCamp / rtMedia for WordPress, BuddyPress and bbPress。影響ありとして記載：4.7.10以下（原資料では開始版が未指定）。途中の変更：4.7.11から影響なし。

対象の版

rtMedia for WordPress, BuddyPress and bbPress：>= n/a / <= 4.7.10 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.7.11から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者が 2FA を回避できる可能性があります。

自分は対象？

• 対象は Hide My WP Ghost プラグインのバージョン 7.0.06 以下がインストールされている環境です。

• WordPress の「Subscriber」ロールのユーザーが認証に影響を受けます。

ほか1項目は詳細ページへ

対象の版

Hide My WP Ghost：>= n/a / <= 7.0.06 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 7.0.07から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

具体的な被害は記載されていません。

自分は対象？

• 攻撃者は認証されていない状態で実行できる。

• 公式の対象表：Anh Tran / Falcon – WordPress Optimizations & Tweaks。影響ありとして記載：2.10.0以下（原資料では開始版が未指定）。途中の変更：2.10.1から影響なし。

対象の版

Falcon – WordPress Optimizations & Tweaks：>= n/a / <= 2.10.0 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 2.10.1から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

機密情報が不正な第三者に取得される可能性があります。

自分は対象？

• 攻撃者は認証なしでこの脆弱性を悪用できます。

• 公式の対象表：Mahmudul Hasan Arif / WP Social Ninja。影響ありとして記載：4.3.0以下（原資料では開始版が未指定）。途中の変更：4.3.1から影響なし。

対象の版

WP Social Ninja：>= n/a / <= 4.3.0 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.3.1から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

購読者権限のユーザーがこの脆弱性を利用すると、管理者権限など上位の権限を取得できる可能性があります。

自分は対象？

• 対象は WP BASE Booking プラグインのバージョン 6.3.1 以下を使用している WordPress サイトで、購読者（Subscriber）権限のユーザーが存在する場合です。

• 公式の対象表：Hakan Ozevin / WP BASE Booking。影響ありとして記載：6.3.1以下（原資料では開始版が未指定）。途中の変更：6.3.2から影響なし。

対象の版

WP BASE Booking：>= n/a / <= 6.3.1 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 6.3.2から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がサブスクライバー権限で本来許可されていない機能やデータにアクセスできる可能性があります。

自分は対象？

• サブスクライバー権限のユーザーが対象です。

• 公式の対象表：weDevs / WP ERP。影響ありとして記載：1.17.5以下（原資料では開始版が未指定）。途中の変更：1.17.6から影響なし。

対象の版

WP ERP：>= n/a / <= 1.17.5 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 1.17.6から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者が対象プラグインを利用してコンテンツを任意に削除でき、サイトの情報が失われる可能性があります。

自分は対象？

• 攻撃者が WordPress の「購読者」権限を持つユーザーであること。

• 対象プラグインのバージョンが 4.5.0 以下であること。

ほか1項目は詳細ページへ

対象の版

WP EasyPay：>= n/a / <= 4.5.0 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 4.5.1から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

ページを表示した人のブラウザーで不正なスクリプトが実行され、情報が漏洩したり操作が乗っ取られる可能性がある。

自分は対象？

• 攻撃者は認証されていない状態でも利用できる。

• 対象は WP Google Maps Pro プラグインがインストールされた WordPress 環境で、バージョンが 10.1.02 以下であること。

ほか1項目は詳細ページへ

対象の版

WP Google Maps Pro：>= n/a / <= 10.1.02 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 10.1.03から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者が本来許可されていない機能やデータに不正にアクセスできる可能性があります。

自分は対象？

• 対象は WP Booking System プラグインのバージョン5.12.8.1未満で、WordPress のサブスクライバー権限を持つユーザーが利用している場合です。

• 公式の対象表：WP Booking System . / WP Booking System。影響ありとして記載：5.12.8.1未満（原資料では開始版が未指定）。途中の変更：5.12.8.1から影響なし。

対象の版

WP Booking System：>= n/a / < 5.12.8.1 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 5.12.8.1から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

認証されていない攻撃者が保護された機能やデータに不正にアクセスできる可能性があります。

自分は対象？

• WP Fast Total Search プラグインのバージョンが 1.81.282 以下であること。

• 攻撃者が認証されていないこと。

ほか1項目は詳細ページへ

対象の版

WP Fast Total Search：>= n/a / <= 1.81.282

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

この欠陥により、攻撃者が認可されていない操作を行える可能性があります。

自分は対象？

• 公式の対象表：axiomthemes / QuickCal - Appointment Booking Calendar for WordPress。影響ありとして記載：1.0.16以下（原資料では開始版が未指定）。

対象の版

QuickCal - Appointment Booking Calendar for WordPress：>= n/a / <= 1.0.16

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。