WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（10／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/9 Envira Gallery <= 1.16.1 - Missing AuthorizationCVE-2026-104682 Envira Galleryenvira-gallery-lite 中（Medium） CVSS 4.3 あり（1.16.2） 10 件未満 Defiant・MITRE
2026/10/9 Dashboard Notes <= 1.0.3 - Cross-Site Request ForgeryCVE-2026-62026 Dashboard Notesdashboard-notes 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/9 WP Post Author <= 4.0.0 - Authenticated (Admin+) SQL InjectionCVE-2026-108124 WP Post Authorwp-post-author 中（Medium） CVSS 4.9 あり（4.1.0） 10 件未満 Defiant・MITRE
2026/10/9 Robo Gallery <= 5.2.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-81156 Robo Galleryrobo-gallery 中（Medium） CVSS 6.4 あり（5.2.6） 198 件 Defiant・MITRE
2026/10/9 Kirki <= 6.3.1 - Authenticated (Editor+) Server-Side Request ForgeryCVE-2026-84224 Kirkikirki 中（Medium） CVSS 5.5 あり（6.3.2） 10 件未満 Defiant・MITRE
2026/10/9 Envira Gallery <= 1.16.1 - Authenticated (Author+) Insecure Direct Object ReferenceCVE-2026-104684 Envira Galleryenvira-gallery-lite 中（Medium） CVSS 4.3 あり（1.16.2） 10 件未満 Defiant・MITRE
2026/10/9 Web Vitals Tracking <= 5.4.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-87760 Web Vitals Trackingweb-vitals-tracking 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Tcard WP <= 1.8.0 - Unauthenticated SQL InjectionCVE-2026-81420 Tcard WPtcard-wp 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 WeddingCity Lite <= 1.0.4 - Missing AuthorizationCVE-2026-106029 WeddingCity Liteweddingcity-lite 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 WP Event Manager – Events Calendar, Registrations, Sell Tickets with WooCommerce <= 3.4.1 - Missing AuthorizationCVE-2026-62041 WP Event Managerwp-event-manager 中（Medium） CVSS 4.3 なし 23 件 Defiant・MITRE
2026/10/9 Post Voting System <= 1.0 - Unauthenticated SQL InjectionCVE-2026-89302 Post Voting Systempost-voting-system 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to Gravity Forms <= 1.0.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-84260 click5 CRM add-on to Gravity Formsgf-add-on-by-click5 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Paymendo Bank Transfer <= 1.1 - Unauthenticated SQL InjectionCVE-2026-89304 paymendopaymendo-bank-transfer 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 BuddyPress Instant Chat <= 1.6 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-87764 BuddyPress Instant Chatbp-instant-chat 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Robo Gallery <= 5.2.5 - Authenticated (Author+) Stored Cross-Site ScriptingCVE-2026-81154 Robo Galleryrobo-gallery 中（Medium） CVSS 6.4 あり（5.2.6） 198 件 Defiant・MITRE
2026/10/9 Envira Gallery <= 1.16.1 - Authenticated (Author+) Information ExposureCVE-2026-104681 Envira Galleryenvira-gallery-lite 中（Medium） CVSS 4.3 あり（1.16.2） 10 件未満 Defiant・MITRE
2026/10/9 MicroPayments – Fans Paysite: Paid Creator Subscriptions, Digital Assets, Wallet <= 3.2.9 - Authenticated (Subscriber+) Payment BypassCVE-2026-107434 MicroPaymentspaid-membership 中（Medium） CVSS 4.3 あり（3.2.10） 確認できず Defiant・MITRE
2026/10/9 WP Post Author 4.0.0 - Authenticated (Contributor+) SQL InjectionCVE-2026-108125 WP Post Authorwp-post-author 中（Medium） CVSS 6.5 あり（4.1.0） 10 件未満 Defiant・MITRE
2026/10/9 Site Setup Wizard <= 1.5.8 - Unauthenticated SQL InjectionCVE-2026-89195 Site Setup Wizardsite-setup-wizard 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 ASPL Product Quotation <= 1.1.0 - Unauthenticated SQL InjectionCVE-2026-89287 ASPL Product Quotationaspl-product-quotation 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 Loja Automática <= 1.0.0 - Unauthenticated SQL InjectionCVE-2026-89297 Loja Automáticaloja-automatica 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 Before After Image Comparison – Visual Comparison for Two Images <= 1.1.21 - Missing AuthorizationCVE-2026-62028 Before After Image Comparisonbefore-after-image-compare 中（Medium） CVSS 4.3 なし 10 件未満 Defiant・MITRE
2026/10/9 Paymendo Bank Transfer <= 1.1 - Authenticated (Subscriber+) SQL InjectionCVE-2026-89305 paymendopaymendo-bank-transfer 中（Medium） CVSS 6.5 なし 確認できず Defiant・MITRE
2026/10/9 Restrict User Access – Ultimate Membership & Content Protection <= 2.8.1 - Missing AuthorizationCVE-2026-62040 Restrict User Accessrestrict-user-access 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 Envira Gallery <= 1.16.1 - Authenticated (Admin+) Arbitrary Plugin InstallationCVE-2026-104680 Envira Galleryenvira-gallery-lite 高（High） CVSS 7.2 あり（1.16.2） 10 件未満 Defiant・MITRE
2026/10/9 Llavero.io <= 0.1.4 - Unauthenticated SQL InjectionCVE-2026-89213 Llavero.iollavero-io 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 Verify API <= 1.0.0 - Unauthenticated SQL InjectionCVE-2026-89299 WP Verify APIwp-verify-api 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 All Bootstrap Blocks <= 1.3.31 - Authenticated (Subscriber+) Information ExposureCVE-2026-62036 All Bootstrap Blocksall-bootstrap-blocks 中（Medium） CVSS 4.3 なし 10 件 Defiant・MITRE
2026/10/9 Disable Users <= 1.0.5 - Disabled Account Authorization BypassCVE-2026-88827 Disable Usersdisable-users 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/9 WpCues Basic Quiz <= 1.6.5 - Unauthenticated SQL InjectionCVE-2026-89214 WpCues Basic Quizwpcues-basic-quiz 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 Academy LMS <= 4.0.3 - Authenticated (Custom+) Privilege Escalation to add_child REST endpointCVE-2026-104022 Academy LMSacademy 中（Medium） CVSS 5.4 あり（4.0.4） 確認できず Defiant・MITRE
2026/10/9 Mindstien Quick Login <= 1.0 - Unauthenticated Privilege Escalation via Account TakeoverCVE-2026-84734 Mindstien Quick Loginmindstien-quick-login 緊急（Critical） CVSS 9.8 なし 確認できず Defiant・MITRE
2026/10/9 RecordBrowser <= 1.1.7 - Unauthenticated SQL InjectionCVE-2026-89232 Recordbrowserrecordbrowser 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to Contact Form 7 <= 1.0.4 - Missing AuthorizationCVE-2026-84254 click5 CRM add-on to Contact Form 7cf7-add-on-by-click5 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 Simple Membership <= 4.8.2 - Information ExposureCVE-2026-88785 Simple Membershipsimple-membership 低（Low） CVSS 3.1 あり（4.8.3） 794 件 Defiant・MITRE
2026/10/9 Kirki <= 6.3.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-84220 Kirkikirki 中（Medium） CVSS 6.5 あり（6.3.2） 10 件未満 Defiant・MITRE
2026/10/9 HTML5 Audio Player – The Ultimate No-Code Podcast, MP3 & Audio Player <= 2.8.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-62039 HTML5 Audio Playerhtml5-audio-player 中（Medium） CVSS 6.4 なし 38 件 Defiant・MITRE
2026/10/9 Tonda Membership <= 1.0.1 - Unauthenticated Privilege EscalationCVE-2026-62022 Tonda Membershiptonda-membership 緊急（Critical） CVSS 9.8 なし 確認できず Defiant・MITRE
2026/10/9 Dokan <= 5.1.0 - Authenticated (Vendor+) Information ExposureCVE-2026-107694 Dokandokan-lite 中（Medium） CVSS 4.3 あり（5.2.0） 10 件未満 Defiant・MITRE
2026/10/9 Veeqo for WooCommerce <= 2.2.8 - Authenticated (Subscriber+) Arbitrary File UploadCVE-2026-93550 Veeqo for WooCommerceveeqo-for-woocommerce 高（High） CVSS 8.8 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to Gravity Forms <= 1.0.3 - Missing AuthorizationCVE-2026-84253 click5 CRM add-on to Gravity Formsgf-add-on-by-click5 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 eRoom – Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams <= 1.7.1 - Missing AuthorizationCVE-2026-62038 eRoomeroom-zoom-meetings-webinar 中（Medium） CVSS 5.3 なし 10 件未満 Defiant・MITRE
2026/10/9 Subscribe to Comments <= 2.3.2 - Reflected Cross-Site ScriptingCVE-2026-91829 Subscribe to Commentssubscribe-to-comments 中（Medium） CVSS 6.1 あり（2.3.3） 確認できず Defiant・MITRE
2026/10/9 Crowdfundly <= 2.2.2 - Authenticated (Crowdfundly Manager+) Privilege EscalationCVE-2026-85126 Crowdfundlycrowdfundly 高（High） CVSS 8.8 なし 確認できず Defiant・MITRE
2026/10/9 SmugMug Embed <= 3.13 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-88826 SmugMug Embedsmugmug-embed 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Directory Listings WordPress plugin – uListing <= 2.2.0 - Missing Authorization to Settings UpdateCVE-2026-62033 Directory Listings WordPress pluginulisting 中（Medium） CVSS 4.3 なし 10 件未満 Defiant・MITRE
2026/10/9 Fundiin <= 3.4.0 - Missing AuthorizationCVE-2026-81649 Fundiin cho WooCommercefundiin 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to Ninja Forms <= 1.0.1 - Missing AuthorizationCVE-2026-84251 click5 CRM add-on to Ninja Formsclick5-crm-add-on-to-ninja-forms 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell <= 3.13.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-62029 WPFunnelswpfunnels 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/10/9 Topcontent <= 1.2.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-88903 Topcontenttopcontent 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use