WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「高」：1,225 件（11／25ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/23 Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More <= 5.5.1.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-95529 Calculated Fields Formcalculated-fields-form 高（High） CVSS 7.2 あり（5.5.1.2） 23 件 Defiant・MITRE
2026/9/23 Event Tickets and Registration <= 5.29.4 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-93526 Event Tickets and Registrationevent-tickets 高（High） CVSS 7.2 あり（5.29.5） 58 件 Defiant・MITRE
2026/9/23 WPS Limit Login <= 1.5.9.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-93622 WPS Limit Loginwps-limit-login 高（High） CVSS 7.2 あり（1.5.9.4） 確認できず Defiant・MITRE
2026/9/23 Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder <= 3.15.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-95515 Ninja Formsninja-forms 高（High） CVSS 7.2 あり（3.15.4） 1,272 件 Defiant・MITRE
2026/9/23 Import and export users and customers <= 2.4.17 - Authenticated (Subscriber+) Privilege Escalation via CSV Escape-Character Mismatch in Export/Import Round Trip via display_name and nickname Profile FieldsCVE-2026-86583 Import and export users and customersimport-users-from-csv-with-meta 高（High） CVSS 8.8 あり（2.4.18） 確認できず Defiant・MITRE
2026/9/23 EthPress <= 2.3.5 - Unauthenticated Authentication BypassCVE-2026-19125 EthPressethpress 高（High） CVSS 8.1 あり（2.3.6） 確認できず Defiant・MITRE
2026/9/23 Product Filter for WooCommerce by WBW <= 3.1.7 - Unauthenticated SQL InjectionCVE-2026-95601 Product Filter for WooCommerce by WBWwoo-product-filter 高（High） CVSS 7.5 あり（3.1.8） 10 件未満 Defiant・MITRE
2026/9/23 User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission <= 4.3.11 - Authenticated (Subscriber+) Arbitrary File DeletionCVE-2026-95525 User Frontendwp-user-frontend 高（High） CVSS 8.1 あり（4.3.12） 67 件 Defiant・MITRE
2026/9/23 Link Library <= 7.9.5 - Unauthenticated Server-Side Request ForgeryCVE-2026-78397 Link Librarylink-library 高（High） CVSS 7.2 あり（7.9.6） 222 件 Defiant・MITRE
2026/9/23 Bluff Post <= 1.1.1 - Unauthenticated SQL InjectionCVE-2026-89237 Bluff Postbluff-post 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/9/23 Rename wp-login.php to anything you want <= 2.0.1 - Unauthenticated SQL Injection via 'log' (Username) ParameterCVE-2026-93368 Rename wp-login.php to anything you wantrename-wp-loginphp-to-anything-you-want 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/9/22 Ninja Forms <= 3.15.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-92438 Ninja Formsninja-forms 高（High） CVSS 7.2 あり（3.15.4） 1,272 件 Defiant・MITRE
2026/9/22 Ninja Forms <= 3.15.3 - Unauthenticated PHP Object InjectionCVE-2026-91827 Ninja Formsninja-forms 高（High） CVSS 8.1 あり（3.15.4） 1,272 件 Defiant・MITRE
2026/9/22 wpForo Forum <= 3.1.5 - Authenticated (Subscriber+) PHP Object InjectionCVE-2026-80513 wpForo Forumwpforo 高（High） CVSS 7.5 あり（3.1.6） 83 件 Defiant・MITRE
2026/9/22 WP Travel Engine <= 6.8.0 - Authenticated (Contributor+) Local File Inclusion via 'template' Shortcode AttributeCVE-2026-9231 WP Travel Enginewp-travel-engine 高（High） CVSS 7.5 あり（6.8.1） 14 件 Defiant・MITRE
2026/9/22 BM Content Builder < 3.17.1 - Authenticated (Subscriber+) Arbitrary File DeletionCVE-2025-1281 BM Content Builderbm-builder 高（High） CVSS 8.8 あり（3.17.1） 10 件未満 Defiant・MITRE
2026/9/22 WP Yelp Review Slider <= 9.2 - Unauthenticated Stored Cross-Site Scripting via Yelp Review Text (imported via wpyelp_download_source)CVE-2026-93778 WP Yelp Review Sliderwp-yelp-review-slider 高（High） CVSS 7.2 あり（9.3） 確認できず Defiant・MITRE
2026/9/22 WP Table Builder 2.1.1 - 2.1.13 - Incorrect Authorization to Authenticated (Subscriber+) Arbitrary Post Deletion via 'ids' ParameterCVE-2026-6922 WP Table Builderwp-table-builder 高（High） CVSS 7.1 あり（2.1.14） 16 件 Defiant・MITRE
2026/9/22 HUSKY <= 1.4.4 - Unauthenticated Local File Inclusion via 'custom_tpl' Shortcode Attribute via 'woof_draw_products' AJAXCVE-2026-92969 HUSKYwoocommerce-products-filter 高（High） CVSS 8.1 あり（1.4.5） 44 件 Defiant・MITRE
2026/9/22 WPC Product Bundles for WooCommerce <= 8.6.6 - Unauthenticated Stored Cross-Site Scripting via 'qty' ParameterCVE-2026-93836 WPC Product Bundles for WooCommercewoo-product-bundle 高（High） CVSS 7.2 あり（8.6.7） 11 件 Defiant・MITRE
2026/9/22 Ninja Forms – The Contact Form Builder That Grows With You <= 3.15.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-94504 Ninja Formsninja-forms 高（High） CVSS 7.2 あり（3.15.4） 1,272 件 Defiant・MITRE
2026/9/22 TranslatePress <= 3.3.5 - Unauthenticated Stored Cross-Site Scripting via Translation Memory Suggestion PanelCVE-2026-89412 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.2 あり（3.3.6） 938 件 Defiant・MITRE
2026/9/22 CMP <= 4.1.17 - Authenticated (Editor+) Privilege Escalation via Arbitrary Option Update to cmp_ajax_import_settings AJAX ActionCVE-2026-12470 CMPcmp-coming-soon-maintenance 高（High） CVSS 7.2 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/9/21 OAuth Server <= 6.3.0 - Authenticated (Subscriber+) Arbitrary User Identity Token Issuance to Privilege EscalationCVE-2026-82843 WP OAuth Serverminiorange-oauth-20-server 高（High） CVSS 8.8 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/9/21 JetFormBuilder Stripe Gateway <= 1.0.0 - Unauthenticated SQL InjectionCVE-2022-4997 JetFormBuilder Stripe Gatewayjet-form-builder-stripe-gateway 高（High） CVSS 7.5 あり（1.1.0） 確認できず Defiant・MITRE
2026/9/21 WP Ultimate Review <= 2.4.2 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'xs_submit_review_data[xs_reviw_summery]' ParameterCVE-2026-92235 WP Ultimate Reviewwp-ultimate-review 高（High） CVSS 8.1 あり（2.4.3） 16 件 Defiant・MITRE
2026/9/19 YS LeadGen – Popups, Opt-ins & Lead Capture <= 2.1.4 - Unauthenticated Information Disclosure in 'ysleadgen_get_captured_data' AJAX ActionCVE-2026-1255 YS LeadGenysleadgen 高（High） CVSS 7.5 あり（2.1.5） 確認できず Defiant・MITRE
2026/9/19 The Welcomizer <= 2.8.1 - Missing Authorization to Authenticated (Subscriber+) Remote Code Execution via 'twiz_custom_logic' ParameterCVE-2026-4327 The Welcomizerthe-welcomizer 高（High） CVSS 8.8 あり（999.0） 確認できず Defiant・MITRE
2026/9/19 Quill Forms | Conversational Multi Step Forms, Surveys & quizzes <= 5.7.1 - Unauthenticated Stored Cross-Site Scripting via Multiple Choice 'Other' ValueCVE-2026-15664 Quill Formsquillforms 高（High） CVSS 7.2 あり（5.7.2） 確認できず Defiant・MITRE
2026/9/19 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.2 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'eup_bio' Biography Field (Entity-Encoded Shortcode Bracket)CVE-2026-85658 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 高（High） CVSS 8.1 あり（4.17.3） 3,212 件 Defiant・MITRE
2026/9/18 Asset CleanUp: Page Speed Booster <= 1.4.0.5 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-13354 Asset CleanUpwp-asset-clean-up 高（High） CVSS 7.2 あり（1.4.0.6） 確認できず Defiant・MITRE
2026/9/18 Save as PDF Plugin by PDFCrowd <= 4.6.1 - Authenticated (Contributor+) Arbitrary Function Invocation / Code Injection via 'pdf_created_callback' Shortcode AttributeCVE-2026-92807 Save as PDF Plugin by PDFCrowdsave-as-pdf-by-pdfcrowd 高（High） CVSS 8.8 あり（4.6.2） 10 件未満 Defiant・MITRE
2026/9/18 Import and export users and customers <= 2.5.1 - Authenticated (Admin+) Privilege EscalationCVE-2026-92540 Import and export users and customersimport-users-from-csv-with-meta 高（High） CVSS 7.2 あり（2.5.2） 確認できず Defiant・MITRE
2026/9/18 Unlimited Elements For Elementor <= 2.0.19 - Authenticated (Subscriber+) PHP Object InjectionCVE-2026-85017 Unlimited Elements for Elementorunlimited-elements-for-elementor 高（High） CVSS 7.5 あり（2.0.20） 82 件 Defiant・MITRE
2026/9/18 SAML Single Sign On <= 5.4.7 - Unauthenticated Privilege EscalationCVE-2026-82842 SAML Single Sign Onminiorange-saml-20-single-sign-on 高（High） CVSS 7.3 あり（6.0.0） 確認できず Defiant・MITRE
2026/9/18 Forminator Forms <= 1.57.2.0 - Authenticated (Admin+) Privilege EscalationCVE-2026-87068 Forminator Formsforminator 高（High） CVSS 7.2 あり（1.57.2.1） 527 件 Defiant・MITRE
2026/9/18 Import and export users and customers <= 2.5.1 - Authenticated (Admin+) Privilege EscalationCVE-2026-92541 Import and export users and customersimport-users-from-csv-with-meta 高（High） CVSS 7.2 あり（2.5.2） 確認できず Defiant・MITRE
2026/9/18 WP Photo Album Plus <= 9.2.09.002 - Authenticated (Subscriber+) Remote Code Execution via Multipart Upload Filename via ImageMagick Argument InjectionCVE-2026-87909 WP Photo Album Pluswp-photo-album-plus 高（High） CVSS 7.5 あり（9.3.01.003） 18 件 Defiant・MITRE
2026/9/18 NextGEN Gallery <= 4.4.0 - Authenticated (Admin+) Arbitrary File UploadCVE-2026-81650 Photo Gallery, Sliders, Proofing and Th…nextgen-gallery 高（High） CVSS 7.2 あり（4.5.0） 823 件 Defiant・MITRE
2026/9/18 Popup Maker <= 1.24.0 - Unauthenticated Stored Cross-Site Scripting via values[Name] ParameterCVE-2026-87915 Popup Makerpopup-maker 高（High） CVSS 7.2 あり（1.25.0） 3,143 件 Defiant・MITRE
2026/9/18 Jeg Kit for Elementor <= 3.2.16 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-18405 Jeg Kit for Elementorjeg-elementor-kit 高（High） CVSS 7.2 あり（3.2.17） 68 件 Defiant・MITRE
2026/9/18 Complianz GDPR/CCPA Cookie Consent Banner <= 7.5.4 - Unauthenticated Stored Cross-Site Scripting via Elementor Cookie Blocker RegexCVE-2026-83561 Complianz GDPR/CCPA Cookie Consent Bann…complianz-gdpr 高（High） CVSS 7.2 あり（7.5.5） 985 件 Defiant・MITRE
2026/9/18 Master Addons for Elementor <= 3.2.2 - Missing Authorization to Authenticated (Contributor+) Arbitrary Post Modification/Deletion via 'popup_id' ParameterCVE-2026-85410 Master Addons for Elementormaster-addons 高（High） CVSS 8.1 あり（3.2.3） 20 件 Defiant・MITRE
2026/9/18 WP Multi Store Locator Pro <= 4.5.1 - Unauthenticated SQL Injection via 'store_locator_search_radius' ParameterCVE-2026-15275 WP Multi Store Locator Prowp-multi-store-locator-pro 高（High） CVSS 7.5 あり（4.5.2） 10 件未満 Defiant・MITRE
2026/9/18 Mapster WP Maps <= 1.23.0 - Authenticated (Subscriber+) Arbitrary User Meta Write via 'acf-photo-gallery-groups' ParameterCVE-2026-12954 Mapster WP Mapsmapster-wp-maps 高（High） CVSS 8.8 あり（1.24.0） 確認できず Defiant・MITRE
2026/9/18 Location Manager <= 2.3.38 - Unauthenticated SQL Injection via 'latitude' and 'longitude' REST API ParametersCVE-2026-85705 Location Managergeodir_location_manager 高（High） CVSS 7.5 あり（2.3.39） 確認できず Defiant・MITRE
2026/9/18 WCFM Marketplace <= 3.8.2 - Unauthenticated SQL Injection via 'wcfmmp_user_location_lat' / 'wcfmmp_user_location_lng' ParameterCVE-2026-18442 WCFM Marketplacewc-multivendor-marketplace 高（High） CVSS 7.5 あり（3.8.3） 確認できず Defiant・MITRE
2026/9/18 Printcart Web to Print Product Designer for WooCommerce <= 2.8.5 - Unauthenticated Arbitrary File Read via 'folder' and 'mockups' ParametersCVE-2026-14323 Printcart Storeprintcart-integration 高（High） CVSS 7.5 あり（2.8.6） 確認できず Defiant・MITRE
2026/9/18 Filter Gallery <= 1.1.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Gallery Deletion via 'ufg_gallery_id' ParameterCVE-2026-89413 Filter Galleryfilter-gallery 高（High） CVSS 8.1 あり（1.1.5） 確認できず Defiant・MITRE
2026/9/18 Booking Calendar <= 11.8.2 - Authenticated (Editor+) Privilege Escalation to 'data_name' ParameterCVE-2026-92619 Booking Calendarbooking 高（High） CVSS 7.2 あり（11.8.3） 15 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use