Download Monitor に XSS 脆弱性、5.3.4 で修正
Download Monitor 5.3.3 以下のサイトは、細工したリンクをクリックした人のブラウザで JavaScript が動きます。5.2.10 以下にはもう 1 件。5.3.4 以上に上げる。
ブログ
WordPress の更新で踏んだ事故と直し方。公開された脆弱性は、対象になるサイトと取るべき対応をまとめています。
LiteSpeed Cache に XSS 脆弱性、7.9.2 で修正
LiteSpeed Cache 7.9.1 以下で CDN マッピングかフォント表示の最適化をオンにしているサイトは、公開されたコメント経由で JavaScript を仕込まれます。7.9.2 に上げる。
PixelYourSite に XSS 脆弱性、11.4.3 で修正
PixelYourSite 11.4.3 より前（Pro は 12.6.8 より前）でページ全体をキャッシュしているサイトは、ログインなしの第三者に公開ページへ JavaScript を仕込まれます。11.4.4 に上げる。
WebP Express に XSS 脆弱性、0.25.16 で修正
WebP Express 0.25.15 以下で Alter HTML をオンにしているサイトは、ログインなしの第三者に公開ページへ JavaScript を仕込まれます。0.25.16 に上げる。
PHP の重大な脆弱性 php2shell、WordPress サイトの対象・対策まとめ
PHP 本体の脆弱性 php2shell は、ログインしていない第三者がサーバー上でコードを実行できます。WordPress の更新では直らず、サーバーの PHP を 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上に切り替える。
Rank Math PRO 3.0.123 の一部にマルウェア混入、開発元が復旧手順を案内
Rank Math PRO 3.0.123 の一部にマルウェアが混入。対象は日本時間 10 月 16 日 5:02〜16:12 の入手分です。有効化していた場合は更新だけでなく、サイトの復旧と認証情報の変更が必要です。
My Calendar に管理者を乗っ取られる脆弱性、3.8.8 で修正
My Calendar 3.8.7 以下は、ログインしていない第三者に最初の管理者アカウントのパスワードを書き換えられます。3.8.8 か各系統の修正版に上げる。
String Locator にデシリアライズの脆弱性、2.6.8 で修正
String Locator 2.6.7 以下は、第三者がデータベースに残した PHP オブジェクトを、管理者が行を保存した時点で実体化させられます。2.6.8 に上げる。
Ultimate Member に会員情報漏えいの脆弱性、2.14.0 へ
Ultimate Member 2.13.1 以下は、公開範囲を絞ったプロフィール項目をログインなしで読まれます。2.14.0 に上げる。
W3 Total Cache に XSS 脆弱性、2.10.7 で修正
W3 Total Cache 2.10.6 以下で「静的リソースからクエリ文字列を削除する」がオンのサイトは、コメント欄から JavaScript を仕込まれます。2.10.7 に上げる。
Elementor 4.3.0 / 4.3.1 の深刻な脆弱性、4.3.2 で修正
Elementor（無料版）4.3.0 と 4.3.1 は、ログイン中の管理者がリンクを 1 本開くだけで管理者権限の操作を実行されます。4.3.2 に上げる。4.2.4 以下は対象外。
WordPress に緊急の修正、7.1.2 に更新を
WordPress 4.7.0 から 7.1.1 までの本体に、ログインなしでサーバー上の PHP ファイルを読み込ませられる脆弱性。7.1.2 か、使っている系列の修正版に上げる。