WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/04/09-2026/04/15 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 6件
プラグイン: BackWPup
| 対象製品 | BackWPup |
| 対象バージョン | 5.6.6までの全てのバージョン |
| 修正バージョン | 5.6.7 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 5.6.6までの全バージョンに、'/wp-json/backwpup/v1/getblock' REST エンドポイントの 'block_name' パラメータを介したローカルファイルインクルード（Local File Inclusion）の脆弱性が存在します。これは、パストラバーサル文字列に対する 'str_replace()' によるサニタイズ処理が再帰的に行われていないことによるものです。 管理者以上の権限を持つユーザーで認証済みの場合に、'....//' などの細工したパストラバーサルを用いることで、サーバー上の任意のPHPファイルを読み込むことが可能となり、'wp-config.php' などの機密情報の取得や、特定の環境ではリモートコード実行につながる可能性があります。なお、管理者はバックアップ操作の権限を他ユーザーに付与できるため、その場合はより低い権限のユーザーによって本脆弱性が悪用される可能性があります。 |
| 対応方法 | 5.6.7以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-6227 |
| 公開日 | 2026-04-13 14:13:09 (2026-04-14 02:25:47更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/084e3f78-275b-4692-9cce-e17074f55cfb |
プラグイン: Optimole
| 対象製品 | Optimole |
| 対象バージョン | 4.2.2までの全てのバージョン |
| 修正バージョン | 4.2.3 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 4.2.2までの全バージョンに、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、未認証で利用可能な '/wp-json/optimole/v1/optimizations' REST エンドポイントにおいて、ユーザーが指定する 's' パラメータ（srcset ディスクリプタ）に対する入力値のサニタイズおよび出力時のエスケープ処理が不十分であることによるものです。 当該エンドポイントは HMAC 署名およびタイムスタンプによってリクエストを検証しますが、これらの値はフロントエンドのHTML内にそのまま露出しているため、任意の訪問者が取得可能です。また、rest.php において sanitize_text_field() が使用されていますが、HTMLタグは除去されるもののダブルクォートはエスケープされません。その結果、細工されたディスクリプタは transients（WordPress の options テーブルをバックエンドとする）に保存され、後に tag_replacer.php において srcset 属性へエスケープされないまま挿入されます。 認証されていない攻撃者がページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。 |
| 対応方法 | 4.2.3以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-5217 |
| 公開日 | 2026-04-10 11:56:50 (2026-04-11 01:24:58更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/50417068-339a-4ae5-9c90-8f08f54ce0af |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.7までの全てのバージョン |
| 修正バージョン | 3.9.8 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 3.9.7までの全バージョンに、不適切な直接オブジェクト参照（Insecure Direct Object Reference）の脆弱性が存在します。これは、'pay_incomplete_order()' 関数において認証および認可チェックが欠如していることによるものです。 当該関数は攻撃者が制御可能な 'order_id' パラメータを受け取り、これを用いて注文データを取得したうえで、リクエスト送信者の本人確認や所有権の検証を行わないまま、注文所有者（$order_data->user_id）のプロフィールに請求先情報を書き込みます。また、Tutor の nonce（'_tutor_nonce'）が公開されたフロントエンドページ上に露出しています。 認証されていない攻撃者が、推測または列挙した 'order_id' を用いて細工したPOSTリクエストを送信することで、未完了の手動注文を持つ任意ユーザーの請求先プロフィール（氏名、メールアドレス、電話番号、住所など）を改ざんすることが可能となります。 |
| 対応方法 | 3.9.8以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-3360 |
| 公開日 | 2026-04-09 12:40:11 (2026-04-10 01:24:58更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7f365519-dd0a-4f39-880d-7216ce2f7d1e |
プラグイン: Cart Abandonment Recovery for WooCommerce
| 対象製品 | Cart Abandonment Recovery for WooCommerce |
| 対象バージョン | 2.1.0までの全てのバージョン |
| 修正バージョン | 2.1.0 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 2.1.0未満の全バージョンに、権限昇格（Privilege Escalation）の脆弱性が存在します。 Shop Manager以上の権限を持つユーザーで認証済みの場合に、管理者権限へ昇格することが可能となります。 |
| 対応方法 | 2.1.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-39470 |
| 公開日 | 2026-04-08 00:00:00 (2026-04-15 19:32:58更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/868c178f-9389-4da0-8ebb-ee94f025039f |
プラグイン: MW WP Form
| 対象製品 | MW WP Form |
| 対象バージョン | 5.1.1までの全てのバージョン |
| 修正バージョン | 5.1.2 |
| CVSS | 高 (8.1) |
| 脆弱性概要 | 5.1.1までの全バージョンに、任意のファイル移動および読み取り（Arbitrary File Move/Read）の脆弱性が存在します。これは、'generate_user_file_dirpath()' 関数に渡される $name パラメータ（アップロードフィールドのキー）の検証が不十分であり、WordPress の path_join() が絶対パスをそのまま返してしまい、本来想定されたベースディレクトリが無視されることによるものです。 攻撃者は、'mwf_upload_files[]' POST パラメータを通じて制御可能なキーを注入し、これが _set_request_valiables() によりプラグインのデータモデルに取り込まれます。その後、フォーム処理中に 'regenerate_upload_file_keys()' がこれらのキーを処理し、攻撃者が指定したキーを $name 引数として 'generate_user_filepath()' に渡します。対象ファイル（例：wp-config.php）が実在する場合、このキーは検証を通過します。さらに '_get_attachments()' によって同じキーが再利用され、解決されたファイルパスが 'move_temp_file_to_upload_dir()' に渡され、rename() によりアップロードディレクトリへ移動されます。 認証されていない攻撃者が、サーバー上の任意のファイルを移動または読み取ることが可能となり、適切なファイル（例：wp-config.php）が対象となった場合にはリモートコード実行につながる可能性があります。なお、本脆弱性はフォームにファイルアップロードフィールドが追加されており、"Saving inquiry data in database" オプションが有効化されている場合にのみ悪用可能です。 |
| 対応方法 | 5.1.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-5436 |
| 公開日 | 2026-04-08 07:57:15 (2026-04-15 13:45:06更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bc308993-7fc5-41db-a396-f05e95fe47b8 |
プラグイン: Ninja Forms
| 対象製品 | Ninja Forms |
| 対象バージョン | 3.6.12までの全てのバージョン |
| 修正バージョン | 3.6.13 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 3.6.12までの全バージョンに、信頼できない入力のデシリアライズに起因するPHPオブジェクトインジェクションの脆弱性が存在します。 管理者権限を持つユーザーで認証済みの場合に、任意のPHPオブジェクトを注入することが可能となります。なお、脆弱なNinjaForms自体には既知のPOPチェーンは存在しませんが、対象システムに他のプラグインやテーマを通じてPOPチェーンが存在する場合には、任意のファイル削除、機密情報の取得、コード実行などにつながる可能性があります。 |
| 対応方法 | 3.6.13以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2022-2903 |
| 公開日 | 2022-09-05 00:00:00 (2026-04-13 13:25:45更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/dececd27-d311-41c0-a10c-3b9cc8b8f128 |
他の脆弱性: 30件
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.53までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/0184b2b5-0b50-407e-8911-b0845714ea17 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.7までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、対象のコースIDを含む細工したPOSTリクエストを送信することで、非公開コースへ登録することが可能となる。これにより、登録情報がデータベースに作成され、購読者のダッシュボード上で非公開コースのタイトルや登録状態が表示される可能性がある。なお、WordPress本体のアクセス制御により実際のコースコンテンツの閲覧はできず、404が返されるが、本来は 'read_private_posts' 権限を持つユーザーのみに登録が制限されるべきである。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/0c173356-7228-4253-bb28-2c2e11af76fd |
プラグイン: Optimole
| 対象製品 | Optimole |
| 対象バージョン | 4.2.3までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、ユーザーにリンクのクリックなどの操作を行わせることで、ページへ任意のウェブスクリプトを挿入し、そのスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/112cea93-fa4b-4692-8c8b-e74255f61939 |
プラグイン: Forminator Forms
| 対象製品 | Forminator Forms |
| 対象バージョン | 1.50.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2283b147-b904-4086-8cb1-6d8969ccbaf6 |
プラグイン: Ocean Extra
| 対象製品 | Ocean Extra |
| 対象バージョン | 2.5.3までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/24347126-56f5-4fb2-afcd-52af0b879eb0 |
プラグイン: FiboSearch
| 対象製品 | FiboSearch |
| 対象バージョン | 1.32.1までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/243d7c43-9aef-44a6-a63a-862ff8881060 |
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.52までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/27fc81b0-c03a-4de7-bc38-791401d1685b |
プラグイン: Broken Link Checker
| 対象製品 | Broken Link Checker |
| 対象バージョン | 2.4.7までの全てのバージョン |
| 脆弱性概要 | 編集者以上の権限を持つユーザーで認証済みの場合に、既存のSQLクエリに追加のSQLクエリを挿入することが可能となり、データベースから機密情報を取得される可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4399c3b5-9bd6-4334-82fd-6afa735f89e0 |
プラグイン: Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content
| 対象製品 | Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content |
| 対象バージョン | 4.16.12までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、チェックアウトリクエストに任意の 'change_plan_sub_id' 値を指定することで、無効化されている会員プランに登録することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4cc29d32-2727-42df-bd42-2caf0f182c0e |
プラグイン: Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories
| 対象製品 | Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories |
| 対象バージョン | 4.9.4までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/51ca3ed9-6c3e-44c6-b746-8415e27abed0 |
プラグイン: Advanced Custom Fields (ACF®)
| 対象製品 | Advanced Custom Fields (ACF®) |
| 対象バージョン | 6.7.0までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、フロントエンドのACFフォームにアクセスできる場合に、下書きや非公開投稿、制限された投稿タイプなど、本来はフィールド設定により制限されるべき情報を列挙・取得することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/51e3a976-a1a3-411a-b88c-f1cb2aa8d5eb |
プラグイン: Easy Table of Contents
| 対象製品 | Easy Table of Contents |
| 対象バージョン | 2.0.80までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、偽造されたリクエストを通じて権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/52afc761-9050-4aea-97f6-62a9a2e1d65a |
プラグイン: Photo Gallery by 10Web
| 対象製品 | Photo Gallery by 10Web |
| 対象バージョン | 1.8.37までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、偽造されたリクエストを通じて権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/5fb176f2-d966-4d78-9915-e6903d8f226a |
プラグイン: WP-Optimize
| 対象製品 | WP-Optimize |
| 対象バージョン | 4.5.0までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、管理者専用の Smush 操作を実行することが可能となり、ログファイルの読み取り（'get_smush_logs'）、バックアップ画像の削除（'clean_all_backup_images'）、一括画像処理の実行（'process_bulk_smush'）、設定の変更（'update_smush_options'）などを行うことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/6a0a376e-ea3a-40ca-9341-f28f92e15e02 |
プラグイン: YITH WooCommerce Wishlist
| 対象製品 | YITH WooCommerce Wishlist |
| 対象バージョン | 4.13.0までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、他ユーザーのウィッシュリストの名称を変更することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7e947678-a575-4b2c-8da1-4a801a7a642c |
プラグイン: Elementor Website Builder
| 対象製品 | Elementor Website Builder |
| 対象バージョン | 3.35.5までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/98bbec12-25f5-429c-a926-e8da34945962 |
プラグイン: Beaver Builder Page Builder
| 対象製品 | Beaver Builder Page Builder |
| 対象バージョン | 2.7.4.4までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a14fe294-e6e3-42ca-9388-ea632bbc0ec7 |
プラグイン: Permalink Manager Lite
| 対象製品 | Permalink Manager Lite |
| 対象バージョン | 2.5.3までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a61335cb-024d-4f58-8e58-c5b2064d8b51 |
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.51までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、自身が所有していないメディアファイルに対して、パスワードやアクセス制限、非公開フラグなどの保護メタデータを削除することが可能となり、管理者によって保護されていたファイルが直接URLを通じて公開される可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a6b02846-61be-4571-921d-53df5493f856 |
テーマ: Blocksy
| 対象製品 | Blocksy |
| 対象バージョン | 2.0.22までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、偽造されたリクエストを通じて権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b2fad930-8dae-4feb-a9c7-a2fb801cef51 |
プラグイン: ElementsKit Elementor Addons
| 対象製品 | ElementsKit Elementor Addons |
| 対象バージョン | 3.0.6までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b3ae99bb-03c3-4869-9314-0dbd76ca25c0 |
プラグイン: CartFlows
| 対象製品 | CartFlows |
| 対象バージョン | 2.2.3までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b6d84682-6966-47fd-a04c-7f4c5b914fc6 |
プラグイン: Elementor Website Builder
| 対象製品 | Elementor Website Builder |
| 対象バージョン | 3.35.5までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bc51ccec-558c-4155-a309-badf99202ce1 |
プラグイン: Admin and Site Enhancements (ASE)
| 対象製品 | Admin and Site Enhancements (ASE) |
| 対象バージョン | 8.4.0までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c380b630-7378-43a9-8b8d-85d27b904ad4 |
プラグイン: WPForms
| 対象製品 | WPForms |
| 対象バージョン | 1.9.9.3までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c8e56c2c-b559-493f-bafa-501c5948d806 |
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.52までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/d5c652be-ea24-4fbe-aa88-ea1f8814d34a |
プラグイン: VK All in One Expansion Unit
| 対象製品 | VK All in One Expansion Unit |
| 対象バージョン | 9.113.3までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e04eb409-b47b-4b9d-b29b-24f7bbaaf5b4 |
プラグイン: Ultimate Member
| 対象製品 | Ultimate Member |
| 対象バージョン | 2.11.3までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/ec6a6736-ca28-44bb-976e-b22e901306b4 |
プラグイン: WP Shortcodes Plugin — Shortcodes Ultimate
| 対象製品 | WP Shortcodes Plugin — Shortcodes Ultimate |
| 対象バージョン | 7.4.9までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/f6929fdc-a5b1-4c71-9291-3fafa9381cf2 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.7までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、細工したトピックIDおよびレッスンIDを含むAJAXリクエストを送信することで、任意のコースにおいてレッスンをトピックから切り離し、コース内容の並び替えやトピック間での再割り当てを行うことが可能となり、管理者が作成したコースを含むあらゆるコースに影響を与える可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/f9cf0430-8577-449a-aefe-d7bf606fe2de |
総括
この期間内に報告された脆弱性36件のうち、14件は認証されていない攻撃者に影響を受ける脆弱性で、22件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。
特に注目すべきは、認証されていない攻撃者による攻撃が可能な脆弱性が多数含まれている点です。これらには、保存型・反射型XSSによる任意スクリプトの実行、CSRFを利用した設定変更や操作の強制、さらには情報漏えいにつながる不備が含まれており、ユーザー操作を誘導するだけで攻撃が成立するケースも確認されています。これにより、管理者権限の奪取やサイト改ざんへ発展するリスクがあります。
また、深刻度の高い脆弱性としては、ローカルファイルインクルードや任意ファイル移動・読み取りを起点としたリモートコード実行、権限昇格、不適切な認可処理によるユーザー情報の改ざんなどが挙げられます。これらは単体でも重大ですが、他の脆弱性と組み合わさることで、サイトの完全な侵害につながる可能性があります。
総じて、この期間内は脆弱性が非常に多く報告されています。外部からの侵入および内部権限の悪用の双方に対して警戒が必要です。該当プラグインの迅速なアップデートを最優先として、あわせて管理者操作の保護や不要機能の制限など、実運用レベルでの対策強化が求められます。
