使っている製品の、危険と対策がわかる。

どんな危険？

攻撃者が認証なしで保護された機能にアクセスできる可能性があります。

自分は対象？

• 認証されていない攻撃者でも影響を受けます。

• 公式の対象表：WPGMaps / WP Go Maps。影響ありとして記載：10.1.04以下（原資料では開始版が未指定）。

対象の版

WP Go Maps：>= n/a / <= 10.1.04

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

CSRF の脆弱性があることが記載されています。

自分は対象？

• WP Accessibility Helper (WAH) プラグインのバージョンが 0.6.6 以下であること。

• 攻撃者は認証されていない状態でもこの脆弱性を利用できること。

ほか1項目は詳細ページへ

対象の版

WP Accessibility Helper (WAH)：>= n/a / <= 0.6.6

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者は支払額を自由に変更できるため、料金の不正な免除や過大請求が行われ、管理者が設定した価格ロジックが回避されます。

自分は対象？

• 認証されていない攻撃者が利用できる。

• ListSelect または ListRadio フィールドで、設定された選択肢に一致しない数値を送信できること。

ほか2項目は詳細ページへ

対象の版

Ninja Forms：3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

検証がバイパスされるため、攻撃者が任意の内容をメールで送信したりデータベースに保存させたりでき、未検証のデータがシステムに取り込まれる危険があります。

自分は対象？

• この脆弱性は、認証されていない攻撃者が WordPress の nopriv AJAX エンドポイントを通じて、フィールドメタデータを操作した AJAX リクエストを送信できる環境で成立します。

• 公式の対象表：Saturday Drive / Ninja Forms。影響ありとして記載：3.14.9未満の版。影響なしとして記載：3.14.9。個別に例外が記されていない版も、原資料では影響ありとされています。

対象の版

Ninja Forms：3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

これにより、名前・メールアドレス・電話番号といった個人情報が未認証の訪問者に漏洩する可能性がある。

自分は対象？

• 攻撃者は WordPress に Author 権限で認証済みである必要がある。

• 攻撃者は任意の formID を指定して `ninja-forms/submissions-table` ブロックを公開された投稿に埋め込む必要がある。

ほか3項目は詳細ページへ

対象の版

Ninja Forms：3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃が成功すると、ネットワーク内のすべてのサブサイトにある Ninja Forms のテーブル（nf3_*）やオプション、トランジエントが削除され、フォームデータが失われる。

自分は対象？

• 攻撃者はサブサイトの Administrator 権限を持っている必要がある。

• 対象は WordPress のマルチサイト構成であること。

ほか3項目は詳細ページへ

対象の版

Ninja Forms：3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

管理者のブラウザーでスクリプトが実行されることで、セッションCookieの盗難、管理者アカウントの作成、悪意あるプラグインのインストール、サイトコンテンツの任意変更が可能になります。

自分は対象？

• 対象版の公式記載に相違があります。Ninja Formsについて、説明文は「3.10.4から3.14.9」、対象表は「3.10.4以上、3.14.9未満」です。説明文と対象表のどちらか一方だけで対象外や修正済みと判断せず、利用中の版を添えて提供元に確認してください。

• 攻撃者は認証されていない状態で、公開されているフォームにアクセスできる必要があります。

ほか4項目は詳細ページへ

対象の版

Ninja Forms：3.10.4以上・3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意の PHP 関数を実行できるようになるため、管理者アカウントが作成され、サイト全体が乗っ取られる可能性があります。

自分は対象？

• 攻撃者が認証されていない状態であること。

• 'aiomatic_call_google_ai_function' 関数に権限チェックが実装されていないこと。

ほか2項目は詳細ページへ

対象の版

Aimogen Pro - All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit：2.8.4以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者がこの脆弱性を利用すると、被害者がページを開いたときに任意のスクリプトが実行され、ページ上で不正な操作が行われる可能性があります。

自分は対象？

• 攻撃者は認証済みで、サブスクライバー以上の権限を持っている必要があります。

• 対象プラグインは Ninja Forms - Excel Export のバージョン 3.3.6 までが該当します（構造化された対象表に記載）。

ほか3項目は詳細ページへ

対象の版

Ninja Forms - Excel Export：3.3.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はサイトのフォームに保存された個人情報を含む全送信データを取得できる可能性があります。

自分は対象？

• 攻撃者は購読者レベル以上の認証済みユーザーである必要があります。

• 攻撃者は 'spreadsheet_export_form_id' パラメータを含むリクエストを送信できる必要があります。

ほか1項目は詳細ページへ

対象の版

Ninja Forms - Excel Export：3.3.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が任意の場所にファイルを書き込めるため、サーバー上で不正なコードやマルウェアを配置され、後続の攻撃が可能になる。

自分は対象？

• 認証済みでサブスクライバー以上の権限を持つユーザーが 'spreadsheet_export_tmp_name' パラメータを操作できる場合

• 公式の対象表：SaturdayDrive / Ninja Forms - Excel Export。影響ありとして記載：3.3.6以下の版。

対象の版

Ninja Forms - Excel Export：3.3.6以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が不適切に構成されたアクセス制御レベルを悪用できる。

自分は対象？

• 公式の対象表：Jose Vega / WooCommerce Bulk Edit Products – WP Sheet Editor。影響ありとして記載：1.8.21以下の版。途中の変更：1.8.22から影響なし。

対象の版

WooCommerce Bulk Edit Products – WP Sheet Editor：<= 1.8.21 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 1.8.22から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者はサーバー上の任意のファイルを取得できる可能性があります。

自分は対象？

• 公式の対象表：WPMU DEV - Your All-in-One WordPress Platform / Forminator。影響ありとして記載：1.55.0.2以下の版。途中の変更：1.55.1から影響なし。

対象の版

Forminator：<= 1.55.0.2 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 1.55.1から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者が悪意のあるスクリプトを埋め込むと、ページを閲覧したユーザーのブラウザーで不正な処理が実行される可能性があります。

自分は対象？

• 公式の対象表：WPMU DEV - Your All-in-One WordPress Platform / Forminator。影響ありとして記載：1.55.0.1以下の版。途中の変更：1.55.0.2から影響なし。

対象の版

Forminator：<= 1.55.0.1 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 1.55.0.2から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

Blind SQL Injection により、攻撃者はデータベースに対して任意のクエリを実行できる可能性があります。

自分は対象？

• 公式の対象表：WP Inventory / WP Inventory Manager。影響ありとして記載：2.4.0以下の版。

対象の版

WP Inventory Manager：2.4.0以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

ページを表示した人のブラウザーで不正なスクリプトが実行される可能性があります。

自分は対象？

• 攻撃者がプラグインを通じて保存可能な入力欄にスクリプトを埋め込むことができ、プラグインが生成するページを閲覧したユーザーのブラウザーでそのスクリプトが実行されます。この脆弱性は Author Box WP Lens のバージョン 2.1.5 以下に影響します。

• 公式の対象表：Netrr / Author Box WP Lens。影響ありとして記載：2.1.5以下の版。途中の変更：2.1.6から影響なし。

対象の版

Author Box WP Lens：<= 2.1.5 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 2.1.6から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がサーバーを介して任意の内部リソースへリクエストを送信できる可能性があります。

自分は対象？

• 公式の対象表：WP Swings / PDF Generator for WordPress。影響ありとして記載：1.6.2以下の版。途中の変更：1.6.3から影響なし。

対象の版

PDF Generator for WordPress：<= 1.6.2 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 1.6.3から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

SQLインジェクションが可能になる。

自分は対象？

• 認証されていない攻撃者でも利用可能。

• 公式の対象表：Tips and Tricks HQ / WP eMember。影響ありとして記載：v10.9.4未満（原資料では開始版が未指定）。途中の変更：v10.9.4から影響なし。

対象の版

WP eMember：>= n/a / < v10.9.4 / 範囲内で状態が変わります（開始時: 影響あり。変更点: v10.9.4から影響なし。版の順序・条件は原文確認）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

攻撃者がこの脆弱性を利用すると、ユーザーを偽装したサイトへリダイレクトさせ、フィッシング詐欺が実行される恐れがあります。

自分は対象？

• 公式の対象表：John Darrel / Hide My WP Ghost。影響ありとして記載：7.0.00以下の版。途中の変更：7.0.00から影響なし。

対象の版

Hide My WP Ghost：<= 7.0.00 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 7.0.00から影響なし。版の順序・条件は原文確認）

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

PHAR デシリアライズ脆弱性が存在します。

自分は対象？

• 対象は Otter WordPress プラグインのバージョンが 2.2.6 未満であること。

• PHP のバージョンが 8.0 未満であること。

ほか3項目は詳細ページへ

対象の版

Otter：2.2.6未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。