WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（1／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/16 Tutor LMS <= 4.1.0 - Insecure Direct Object Reference to Authenticated (Author+) Arbitrary Course Modification and Ownership Takeover via 'ID' ParameterCVE-2026-92715 Tutor LMStutor 中（Medium） CVSS 4.3 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 News Kit Addons For Elementor <= 1.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via nekit_update_mega_menu_form AJAX Action News Kit Addons For Elementornews-kit-elementor-addons 中（Medium） CVSS 6.4 あり（1.4.9） 確認できず Defiant
2026/10/16 xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN <= 1.4.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'post_content' ParameterCVE-2026-109985 xSpeed Cachexspeed 中（Medium） CVSS 6.4 あり（1.4.3） 確認できず Defiant・MITRE
2026/10/16 Post Export Import with Media <= 1.17.2 - Authenticated (Administrator+) Path Traversal via 'theme_slug' ParameterCVE-2026-110268 Post Export Import with Mediapost-export-import-with-media 中（Medium） CVSS 4.9 あり（1.18.0） 確認できず Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Referer Header via 'referrer_url' Smart TagCVE-2026-92798 User Registration & Membershipuser-registration 高（High） CVSS 8.1 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Cross-Site Request Forgery to trigger_bulk_action()CVE-2026-92978 User Registration & Membershipuser-registration 中（Medium） CVSS 4.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Unauthenticated Stored Cross-Site Scripting via Checkbox Field ValueCVE-2026-96660 User Registration & Membershipuser-registration 高（High） CVSS 7.2 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation via 'user_permission' Parameter via Cross-Form Nonce ReuseCVE-2026-109369 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.8 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via wpbs_refresh_calendar_editor AJAX actionCVE-2026-109368 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'wpbs_action=email_logs' ActionCVE-2026-108123 WP Booking Systemwp-booking-system 高（High） CVSS 7.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 EU VAT Assistant for WooCommerce <= 2.1.30.260413 - Unauthenticated Stored Cross-Site Scripting via 'vat_number' ParameterCVE-2026-103899 EU VAT Assistant for WooCommercewoocommerce-eu-vat-assistant 高（High） CVSS 7.2 あり（2.2.0） 確認できず Defiant・MITRE
2026/10/16 Themify Popup <= 1.4.7 - Authenticated (Author+) Stored Cross-Site Scripting via 'popup_width_unit' ParameterCVE-2026-109989 Themify Popupthemify-popup 中（Medium） CVSS 6.4 あり（1.4.8） 10 件未満 Defiant・MITRE
2026/10/16 Themify Builder <= 7.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'visible' Shortcode AttributeCVE-2026-111726 Themify Builderthemify-builder 中（Medium） CVSS 6.4 あり（7.8.3） 17 件 Defiant・MITRE
2026/10/16 Welcart e-Commerce <= 2.12.4 - Authenticated (Editor+) SQL Injection via 'wp_usces_order_old' CookieCVE-2026-107752 Welcart e-Commerceusc-e-shop 中（Medium） CVSS 4.9 あり（2.12.5） 2,863 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Unauthenticated PHP Object Injection via 'checkout-email' ParameterCVE-2026-104736 LearnPresslearnpress 緊急（Critical） CVSS 9.8 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Missing Authorization to Authenticated (Subscriber+) Email Address Enumeration via 'search-authors' AJAX ActionCVE-2026-107744 LearnPresslearnpress 中（Medium） CVSS 6.5 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Appointment Booking Plugin <= 5.7.4 - Unauthenticated Sensitive Information Disclosure via ORM Operator Injection in 'customer[uuid]' ParameterCVE-2026-111602 Appointment Booking Pluginlatepoint 低（Low） CVSS 3.7 あり（5.7.5） 20 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Unauthenticated Stored Cross-Site Scripting via 'quantity' and 'order_comments' ParametersCVE-2026-109208 LearnPresslearnpress 高（High） CVSS 7.2 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Exposure via Context Smuggling via 'context' ParameterCVE-2026-107762 Kirkikirki 高（High） CVSS 7.5 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Appointment Booking Plugin <= 5.7.4 - Unauthenticated Authentication Bypass via Race Condition on OTP Attempts CounterCVE-2026-110653 Appointment Booking Pluginlatepoint 緊急（Critical） CVSS 9.1 あり（5.7.5） 20 件 Defiant・MITRE
2026/10/16 Hippoo Mobile App for WooCommerce <= 1.12.0 - Reflected Cross-Site Scripting via 'token_id' ParameterCVE-2026-111601 Hippoo Mobile App for WooCommercehippoo 中（Medium） CVSS 6.1 あり（1.12.1） 確認できず Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Authenticated (Administrator+) PHP Object Injection via Deserialization of Untrusted Input via ZIP Template ImportCVE-2026-104734 Kirkikirki 高（High） CVSS 7.2 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Fastcache by Host.it <= 1.7.5 - Missing Authorization to Authenticated (Subscriber+) Arbitrary .htaccess Page-Cache Block Modification via updateSettings() admin_action_update HookCVE-2026-107763 Fastcache by Host.itfastcache-by-host-it 中（Medium） CVSS 4.3 あり（1.7.6） 確認できず Defiant・MITRE
2026/10/16 WP Sessions Time Monitoring Full Automatic <= 1.1.5 - Unauthenticated Stored Cross-Site Scripting via 'action' GET ParameterCVE-2026-107648 WP Sessions Time Monitoring Full Automa…activitytime 高（High） CVSS 7.2 あり（1.1.6） 確認できず Defiant・MITRE
2026/10/16 Events Made Easy <= 3.2.22 - Unauthenticated Stored Cross-Site Scripting via 'event[location_name]' ParameterCVE-2026-107649 Events Made Easyevents-made-easy 中（Medium） CVSS 5.4 あり（3.2.23） 10 件未満 Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.191 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'post_content' Parameter via data-embed-url AttributeCVE-2026-110703 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.192） 12 件 Defiant・MITRE
2026/10/16 GoSMTP Pro <= 1.2.3 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Email Log BodyCVE-2026-96768 GoSMTP Progosmtp-pro 高（High） CVSS 7.2 あり（1.2.4） 確認できず Defiant・MITRE
2026/10/16 DoubleScale | All-in-One CRM <= 1.5.1 - Authenticated (Subscriber+) Arbitrary File Upload via Portal 'ticketless' Attachment EndpointCVE-2026-111311 DoubleScale CRMdoublescale 高（High） CVSS 8.8 あり（1.6.0） 確認できず Defiant・MITRE
2026/10/16 SureCart <= 4.9.4 - Unauthenticated Stored Cross-Site Scripting via sc-cart-loader 'template' Attribute in CommentCVE-2026-109224 SureCartsurecart 高（High） CVSS 7.2 あり（4.9.5） 20 件 Defiant・MITRE
2026/10/16 Name Directory <= 1.34.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'dir' Shortcode AttributeCVE-2026-104726 Name Directoryname-directory 中（Medium） CVSS 6.4 あり（1.34.3） 10 件未満 Defiant・MITRE
2026/10/16 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.5 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Comment Content Rendered on ProfilePress User Profile 'Comments' TabCVE-2026-104003 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 5.4 あり（4.17.6） 3,212 件 Defiant・MITRE
2026/10/16 Vitepos <= 3.5.1 - Unauthenticated SQL Injection via 'src_by' ParameterCVE-2026-92766 Viteposvitepos-lite 高（High） CVSS 7.5 あり（3.6.0） 確認できず Defiant・MITRE
2026/10/16 Tutor LMS <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via display_name ParameterCVE-2026-93681 Tutor LMStutor 中（Medium） CVSS 6.4 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 Social Share Buttons <= 1.30 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'share_url' Network SettingCVE-2026-100108 Social Share Buttonsshare-button 中（Medium） CVSS 6.4 あり（1.31） 確認できず Defiant・MITRE
2026/10/16 User Registration PRO <= 6.2.9 - Unauthenticated Stored Cross-Site Scripting via HTTP Referer HeaderCVE-2026-87111 User Registration PROuser-registration-pro 高（High） CVSS 7.2 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Vulnity Security <= 1.4.3 - Unauthenticated Authentication Bypass to Administrator via Exposed Pairing CredentialsCVE-2026-75903 Vulnity Securityvulnity 高（High） CVSS 8.1 あり（1.4.4） 確認できず Defiant・MITRE
2026/10/16 FiboSearch <= 1.34.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'purchased_plan' ParameterCVE-2026-100106 FiboSearchajax-search-for-woocommerce 中（Medium） CVSS 6.4 あり（1.34.3） 35 件 Defiant・MITRE
2026/10/16 SureDash <= 1.12.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' ParameterCVE-2026-96870 SureDashsuredash 中（Medium） CVSS 6.4 あり（1.12.1） 確認できず Defiant・MITRE
2026/10/16 Sunshine Photo Cart <= 3.7.4 - Unauthenticated PHP Object Injection via 'key' ParameterCVE-2026-104730 Sunshine Photo Cartsunshine-photo-cart 緊急（Critical） CVSS 9.8 あり（3.7.5） 確認できず Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.192 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'twitterusername' Custom FieldCVE-2026-111069 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.193） 12 件 Defiant・MITRE
2026/10/16 TranslatePress <= 3.3.7 - Unauthenticated Stored Cross-Site Scripting via Comment Anchor href with trp-gettext/TRPLINKPROCESSED MarkersCVE-2026-107768 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.2 あり（3.3.8） 938 件 Defiant・MITRE
2026/10/16 CP Multi View Events Calendar <= 1.4.42 - Unauthenticated Stored Cross-Site Scripting via 'CalendarTitle' ParameterCVE-2026-110701 CP Multi View Events Calendarcp-multi-view-calendar 高（High） CVSS 7.2 あり（1.4.43） 確認できず Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Unauthenticated Stored Cross-Site Scripting via Custom User Attribute ValueCVE-2026-109193 HivePresshivepress 高（High） CVSS 7.2 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'message' Attribute of the hivepress_user_login_form ShortcodeCVE-2026-109388 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 WebberZone Top 10 <= 4.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'other_attributes' Block AttributeCVE-2026-110290 WebberZone Top 10top-10 中（Medium） CVSS 6.4 あり（4.5.3） 313 件 Defiant・MITRE
2026/10/16 YaySMTP <= 2.7.7 - Authenticated (Subscriber+) Arbitrary File Upload via Attachment Filename ExtensionCVE-2026-92553 YaySMTPyaysmtp 高（High） CVSS 8.8 あり（2.7.8） 確認できず Defiant・MITRE
2026/10/16 Photo Engine (Media Organizer & Lightroom) <= 6.5.6 - Missing Authorization to Unauthenticated Arbitrary Attachment Deletion and Upload via /?wplr-sync-api 'delete' / 'sync' actionCVE-2026-107770 Photo Enginewplr-sync 中（Medium） CVSS 6.8 あり（6.5.7） 確認できず Defiant・MITRE
2026/10/16 WPeMatico RSS Feed Fetcher <= 2.9 - Unauthenticated Stored Cross-Site Scripting via RSS Feed Content ImportCVE-2026-110252 WPeMatico RSS Feed Fetcherwpematico 中（Medium） CVSS 5.4 あり（2.9.1） 確認できず Defiant・MITRE
2026/10/16 WSP MCP <= 2.9.5 - Authenticated (Subscriber+) Sensitive Information Disclosure via Broken Access Control to 'wsp_get_posts' MCP ToolCVE-2026-109382 WSP MCPwsp-mcp-ai-agents-connector 中（Medium） CVSS 6.5 あり（2.9.6） 確認できず Defiant・MITRE
2026/10/16 Premium Packages <= 7.2.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Order NotesCVE-2026-110664 Premium Packageswpdm-premium-packages 中（Medium） CVSS 6.4 あり（7.3.0） 56 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use