CVE-2025-5760 in Simple History Plugin
要約
〜によって VulDB • 2026年07月02日
WordPress用プラグイン「Simple History」には、バージョン5.8.1以前のappend_debug_info_to_context()関数内での不適切なサニタイズにより、Detective Modeを有効にした際に機密データが漏洩する脆弱性が存在します。Detective Modeが有効化されていると、プラグインのロガーは$_POST（および場合によっては生リクエストボディや$_GET）の内容全体を記録しますが、パスワード関連のキーについては一切マスキングされません。その結果、ユーザーがネイティブなwp_loginまたはサードパーティ製のログインウィジェット経由でログインフォームを送信するたびに、実際のパスワードが平文でログに書き込まれます。認証済み攻撃者や、ログインイベントを引き起こす行動をとるすべてのユーザーのパスワードが記録されるため、管理者（またはデータベースへの読み取りアクセス権を持つ任意のユーザー）はこれらのログを読み取って、キャプチャされたすべてのパスワードを取得することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.