使っている製品の、危険と対策がわかる。

どんな危険？

サーバー上で任意のコードが実行される可能性がある。

自分は対象？

• 攻撃者は認証済みの WordPress 管理者である必要がある。

• 対象の JetBackup プラグインのバージョンが 3.1.24.10 未満であること。

ほか3項目は詳細ページへ

対象の版

JetBackup：3.1.24.10未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はサイトのアカウントを持っていなくても、細工したリンクに利用者を誘導できます。リンクを開いた人のブラウザーで不正な処理が動く問題です。

自分は対象？

• 対象はWPML Multilingual CMSの4.6.1未満です。WordPress本体だけを更新しても、このプラグインの古いバージョンは残ります。

• ログインページの表示言語を指定する値が攻撃に使われます。成立には、利用者が細工されたリンクを開くなどの操作が必要です。

ほか1項目は詳細ページへ

対象の版

WPML Multilingual CMS：4.6.1未満

修正版

4.6.1

どんな危険？

この脆弱性により、攻撃者はデータベースのクエリを操作して情報を抽出でき、サイトの機密情報が漏洩する可能性があります。

自分は対象？

• 攻撃者は認証されていなくても利用可能です。

• 攻撃には配列形式の 'id' パラメータ（例: id[1]）を /wp-json/notificationx/v1/notification/{id} に送信する必要があります。

ほか2項目は詳細ページへ

対象の版

NotificationX：2.0.0以上・2.3.12未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が選んだ PHP ファイルが実行され、サーバー上で任意のコードが動作する可能性があります。

自分は対象？

• 対象製品は WordPress 用の Broadstreet Ad Widget プラグインです。

• 影響を受けるバージョンは 2.2.0 以上 2.12.0 未満です。

ほか5項目は詳細ページへ

対象の版

Ad Widget：2.2.0以上・2.12.0未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

本来は見せない情報へのアクセスが許可されるおそれがあります。公開情報の評価では、攻撃者のログインは不要です。どの画面・情報まで読めるかの詳しい範囲は公表されていません。

自分は対象？

• 対象はminiOrange製の「Page Restriction WordPress (WP)」（識別名page-and-post-restriction）の1.6.0以前です。似た名前の閲覧制限プラグインと取り違えないようにしてください。

• 会員限定ページなどを、このプラグインだけで保護しているか確認してください。

ほか1項目は詳細ページへ

対象の版

Page Restriction WordPress (WP)：1.6.0以下

修正版

1.6.1

どんな危険？

細工された内容を閲覧した利用者のブラウザーで不正な処理が実行される可能性があります。CVE登録の評価では攻撃者のログインは不要で、被害側の閲覧などの操作が必要とされています。

自分は対象？

• 対象は識別名wp-mailsterの「WP Mailster」で、1.9.1.0以前です。名称が似た別のメール配信プラグインとは区別してください。

• 最初に「WP Mailster」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

WP Mailster：1.9.1.0以下

修正版

1.9.2.0

どんな危険？

公開情報の評価では、ログインしていない攻撃者にも情報を読まれるおそれがあります。この問題について、サイト全体の乗っ取りや情報の書き換えまで確認されたという記載ではありません。

自分は対象？

• 対象はeLightUp製の「Falcon – WordPress Optimizations & Tweaks」（識別名falcon）の2.12.0以前です。

• 最初に「Falcon – WordPress Optimizations & Tweaks」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Falcon – WordPress Optimizations & Tweaks：2.12.0以下

修正版

2.12.1

どんな危険？

攻撃者が投稿した内容をページに保存させ、後からそのページを開いた利用者や管理者のブラウザーで不正な処理を動かす可能性があります。

自分は対象？

• 対象はWebP Expressの0.25.16未満です。画像のためにHTMLを書き換える処理と、初期設定ではない画像配信モードを使っていることが、報告されている成立条件です。

• 画像最適化の設定を担当者に確認し、利用者が投稿した内容をサイトに保存・表示する機能があるかも確認してください。設定が分からない場合は、対象外と判断せず更新を優先してください。

ほか1項目は詳細ページへ

対象の版

WebP Express：0.25.16未満

修正版

0.25.16

どんな危険？

他人の氏名や表示名を書き換えて、管理者などになりすました表示を作られるおそれがあります。この問題の説明は名前の変更に関するもので、管理者のパスワードや権限を直接奪えるとまでは示していません。

自分は対象？

• 対象はMasterStudy LMSの3.7.13以上、3.7.55未満です。攻撃者はInstructor（講師）の権限を持ち、受講者登録機能を利用する必要があります。

• 講師アカウントを外部の人にも発行しているか、ユーザー一覧から確認してください。管理者1人だけで運用していても、古い版は更新してください。

ほか1項目は詳細ページへ

対象の版

MasterStudy LMS WordPress Plugin：3.7.13以上・3.7.55未満

修正版

3.7.55

どんな危険？

リンクが未公開でもプレビューにはアクセスできるため、管理者の承認を待つ設定だけでは報告された攻撃経路を防げません。プレビューを開く訪問者も影響を受けます。

自分は対象？

• 対象はLink Libraryの7.9.6未満です。攻撃者にはContributor（寄稿者）以上の権限が必要ですが、プレビューを見る側はログインしている必要がありません。

• リンクが承認済み・公開済みであるかを確かめずにプレビューが生成されることも、報告された条件に含まれます。

ほか1項目は詳細ページへ

対象の版

Link Library：7.9.6未満

修正版

7.9.6

どんな危険？

管理者や別の利用者が登録した画像・添付ファイルを削除され、記事の画像欠落やデータ損失につながるおそれがあります。

自分は対象？

• 対象はPhoto Engineプラグイン（識別名wplr-sync）の6.5.8未満です。攻撃者にはAuthor（日本語画面の「投稿者」）以上の権限が必要です。

• 最初に「Photo Engine (Media Organizer & Lightroom)」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Photo Engine (Media Organizer & Lightroom)：6.5.8未満

修正版

6.5.8

どんな危険？

管理者が写真整理の画面を開いたときに、そのブラウザー上で不正な処理が実行される可能性があります。

自分は対象？

• 対象はPhoto Engine（Media Organizer & Lightroom）の6.5.8未満です。攻撃にはAuthor（投稿者）以上の権限が必要で、名前を保存・表示する処理が問題になります。

• 最初に「Photo Engine (Media Organizer & Lightroom)」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Photo Engine (Media Organizer & Lightroom)：6.5.8未満

修正版

6.5.8

どんな危険？

初期設定ではリンクの所有者は管理者のため、トークンを入手されるとサイト全体の乗っ取りにつながるおそれがあります。攻撃の前提は有効なトークンを入手していることで、すべての訪問者が無条件で管理者になれるという説明ではありません。

自分は対象？

• 対象はRoyal MCPの1.5.7未満です。プレビュー用のトークンが、そのプレビューだけに使えるよう制限されていないことが問題です。

• AIとの接続担当者に、プレビューリンクを外部の人・公開チャット・共有文書へ渡していないか確認してください。リンクに含まれるトークンは、ここやAIへの相談文に貼り付けないでください。

ほか1項目は詳細ページへ

対象の版

Royal MCP：1.5.7未満

修正版

1.5.7

どんな危険？

非公開の記事・固定ページのタイトル、日時、公開状態、一部の保存内容や、管理者専用の投稿種別・分類設定が漏れるおそれがあります。

自分は対象？

• 対象はMB Custom Post Types & Custom Taxonomies（識別名mb-custom-post-type）の2.4.0以上、2.12.3未満です。Contributor（寄稿者）以上のログイン権限が必要です。

• 下書き・非公開ページに公開前の原稿や顧客情報などを保存していないか、外部の寄稿者がいるかを確認してください。

ほか1項目は詳細ページへ

対象の版

MB Custom Post Types & Custom Taxonomies：2.4.0以上・2.12.3未満

修正版

2.12.3

どんな危険？

更新後に追加した公開範囲の制限が失われ、非公開にしたはずの投稿種別や内容が、ログインしていない訪問者にも見える状態になる可能性があります。

自分は対象？

• 対象版は2.0.2以上、2.12.3未満です。報告された攻撃は、2.0未満の版から移行したサイトの古い設定を復元するもので、攻撃者のログインは不要です。

• 導入したのが古いサイトか、2.0未満の時代から使っているかを保守履歴や担当者に確認してください。履歴が分からない場合も、修正版への更新を優先してください。

ほか1項目は詳細ページへ

対象の版

MB Custom Post Types & Custom Taxonomies：2.0.2以上・2.12.3未満

修正版

2.12.3

どんな危険？

ログインしていない攻撃者が送ったCookie（ブラウザーが送る情報）の内容がページに混ざり、キャッシュを通して他の人のブラウザーでも不正な処理が動く可能性があります。

自分は対象？

• 無料版は11.4.3未満、Pro版は12.6.8未満が対象です。ページ全体のHTMLを保存して再利用するキャッシュ機能を使っていることが、報告された攻撃の条件です。

• プラグイン・レンタルサーバー・CDNのいずれかでページキャッシュを使っていないか担当者に確認してください。画像のキャッシュだけを使っていることとは区別します。

ほか1項目は詳細ページへ

対象の版

PixelYourSite：11.4.3未満PixelYourSite Pro：12.6.8未満

修正版

PixelYourSite 11.4.3PixelYourSite Pro 12.6.8

どんな危険？

機械翻訳に関する設定を意図しない値に変えられる可能性があります。CVEの説明だけでは、サイト全体の管理者権限を取得できることや、保存済みの秘密鍵を読み出せることまでは示されていません。

自分は対象？

• 対象はInfility Globalの2.16.25未満です。CVEの表題はGoogle Translate APIキーの更新処理を挙げ、説明は連携機能の機械翻訳設定の上書きとしています。攻撃者のログインは不要です。

• 最初に「Infility Global」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Infility Global：2.16.25未満

修正版

2.16.25

どんな危険？

本来フォームを扱うだけの利用者が、サイトを管理する強い権限を得るおそれがあります。攻撃には、すでにプラグイン独自の役割を持つアカウントが必要です。

自分は対象？

• 対象はHIPAA Formsの3.3.2未満で、プラグイン独自の「hipaa_forms」の役割を持つ利用者がいる構成です。CVEの説明は、その役割をすでに持つ利用者による攻撃を示しています。

• ユーザー一覧とフォームの利用権限を確認し、誰がHIPAA Forms用の役割を持っているか担当者に確認してください。

ほか1項目は詳細ページへ

対象の版

HIPAA Forms：3.3.2未満

修正版

3.3.2

どんな危険？

ショートコードとは、短い記号でサイトの機能を呼び出す仕組みです。レビューに混ぜたショートコードを実行されると、導入済みの機能に応じて意図しない処理が起きます。この問題だけで、あらゆるPHPコードを自由に実行できるとは限りません。

自分は対象？

• 対象はWP Ultimate Reviewの2.4.5未満です。訪問者によるレビュー投稿と、対象となる項目の表示が有効な場合に問題になります。攻撃者はログインしている必要がありません。

• CVEの表題では、レビュー投稿者のメール欄を経由する問題として示されています。

ほか1項目は詳細ページへ

対象の版

WP Ultimate Review：2.4.5未満

修正版

2.4.5

どんな危険？

顧客の郵便住所、電話番号、会社情報が漏れるおそれがあります。顧客アカウントへのログインを破らなくても、注文手続きを通じて成立する点に注意が必要です。

自分は対象？

• 対象はFluentCart A New Era of eCommerceの2.2.0未満です。注文時に指定された保存済み住所が本人のものかを確認しないことが原因で、攻撃者のログインは不要です。

• 最初に「FluentCart A New Era of eCommerce」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

FluentCart A New Era of eCommerce：2.2.0未満

修正版

2.2.0