WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「中」・国内で使われているもの：1,646 件（17／33ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/10 WP-Members Membership Plugin <= 3.5.6 - Reflected Cross-Site ScriptingCVE-2026-84960 WP-Members Membership Pluginwp-members 中（Medium） CVSS 6.1 あり（3.5.7） 2,009 件 Defiant・MITRE
2026/9/10 Floating Chat Widget: Contact Chat Icons, Telegram Chat, Line Messenger, WeChat, Email, SMS, Call Button <= 3.5.9 - Reflected Cross-Site ScriptingCVE-2026-18964 Floating Chat Widgetchaty 中（Medium） CVSS 6.1 あり（3.6.0） 38 件 Defiant・MITRE
2026/9/10 Relevanssi <= 4.28.1 - Reflected Cross-Site ScriptingCVE-2026-19985 Relevanssirelevanssi 中（Medium） CVSS 6.1 あり（4.28.2） 10 件未満 Defiant・MITRE
2026/9/10 GamiPress <= 7.9.7 - Authenticated (Subscriber+) SQL InjectionCVE-2026-15439 GamiPressgamipress 中（Medium） CVSS 6.5 あり（7.9.8） 10 件 Defiant・MITRE
2026/9/10 Bold Timeline Lite <= 1.2.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesCVE-2026-7438 Bold Timeline Litebold-timeline-lite 中（Medium） CVSS 6.4 あり（1.3.0） 10 件未満 Defiant・MITRE
2026/9/10 Media Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'mla_link_href' Shortcode ParameterCVE-2026-6641 Media Library Assistantmedia-library-assistant 中（Medium） CVSS 6.4 あり（3.36） 10 件未満 Defiant・MITRE
2026/9/10 Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker <= 11.2.5 - Unauthenticated Insecure Direct Object ReferenceCVE-2026-62140 Quiz and Survey Masterquiz-master-next 中（Medium） CVSS 5.3 あり（11.2.6） 214 件 Defiant・MITRE
2026/9/10 Media Library Assistant <= 3.35 - Authenticated (Author+) Stored Cross-Site Scripting via Bulk Edit Preset Export/ImportCVE-2026-6642 Media Library Assistantmedia-library-assistant 中（Medium） CVSS 6.4 あり（3.36） 10 件未満 Defiant・MITRE
2026/9/10 Visual Composer Website Builder <= 45.16.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-62138 Visual Composer Website Buildervisualcomposer 中（Medium） CVSS 6.4 あり（45.16.2） 22 件 Defiant・MITRE
2026/9/10 Starter Templates: AI-Powered Website Templates for Elementor & Gutenberg <= 4.7.5 - Authenticated (Contributor+) Insecure Direct Object ReferenceCVE-2026-62134 Starter Templatesastra-sites 中（Medium） CVSS 4.3 あり（4.7.6） 432 件 Defiant・MITRE
2026/9/10 Booking for Appointments and Events Calendar – Amelia 9.0 - 9.8.0 - Unauthenticated Payment BypassCVE-2026-77689 Booking for Appointments and Events Cal…ameliabooking 中（Medium） CVSS 5.3 あり（9.8.1） 56 件 Defiant・MITRE
2026/9/10 Media Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via mla_link_attributes ParameterCVE-2026-6640 Media Library Assistantmedia-library-assistant 中（Medium） CVSS 6.4 あり（3.36） 10 件未満 Defiant・MITRE
2026/9/10 WPBot <= 8.5.9 - Unauthenticated Information ExposureCVE-2026-87916 WPBotchatbot 中（Medium） CVSS 5.3 あり（8.6.0） 10 件未満 Defiant・MITRE
2026/9/10 RTMKit <= 2.1.5 - Cross-Site Request ForgeryCVE-2026-62133 RTMKit for Elementorrometheme-for-elementor 中（Medium） CVSS 4.3 あり（2.1.6） 10 件未満 Defiant・MITRE
2026/9/10 Site Kit by Google – Analytics, Search Console, AdSense, Speed <= 1.186.0 - Cross-Site Request ForgeryCVE-2026-62139 Site Kit by Googlegoogle-site-kit 中（Medium） CVSS 4.3 あり（1.187.0） 58,020 件 Defiant・MITRE
2026/9/10 Redux Framework <= 4.5.13.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Slider Field ValueCVE-2026-5399 Redux Frameworkredux-framework 中（Medium） CVSS 6.4 あり（4.5.14） 27 件 Defiant・MITRE
2026/9/10 Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder <= 1.15.46 - Reflected Cross-Site ScriptingCVE-2026-85645 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.47） 11 件 Defiant・MITRE
2026/9/9 WP Fast Total Search – The Power of Indexed Search <= 1.82.284 - Missing AuthorizationCVE-2026-84821 WP Fast Total Searchfulltext-search 中（Medium） CVSS 5.3 あり（1.83.286） 10 件未満 Defiant・MITRE
2026/9/9 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-85116 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.5 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/9 MetForm – Contact Form, Survey, Quiz, Conditional Forms, Form Templates & Custom Form Builder for Elementor < 4.1.9 - Unauthenticated Email Header InjectionCVE-2026-86813 MetFormmetform 中（Medium） CVSS 5.3 あり（4.1.9） 65 件 Defiant・MITRE
2026/9/9 Translate WordPress with GTranslate < 3.0.10 - Authenticated (Administrator+) Stored Cross-Site ScriptingCVE-2025-15695 Translate WordPress with GTranslategtranslate 中（Medium） CVSS 4.4 あり（3.0.10） 4,089 件 Defiant・MITRE
2026/9/9 Kirki – Freeform Page Builder, Website Builder & Customizer 6.2.1 - 6.2.5 - Unauthenticated Information ExposureCVE-2026-84222 Kirkikirki 中（Medium） CVSS 5.3 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/9/9 SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent 3.3.6 - 3.5.2 - Unauthenticated Information ExposureCVE-2026-81022 SupportCandysupportcandy 中（Medium） CVSS 5.3 あり（3.5.3） 10 件未満 Defiant・MITRE
2026/9/9 Sina Extension for Elementor 3.7.1 - 3.10.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83541 Sina Extension for Elementorsina-extension-for-elementor 中（Medium） CVSS 6.4 あり（3.10.4） 10 件未満 Defiant・MITRE
2026/9/9 myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wrapper' Shortcode AttributeCVE-2026-17149 Points Management System For Gamificati…mycred 中（Medium） CVSS 6.4 あり（3.2.5） 32 件 Defiant・MITRE
2026/9/9 Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) <= 4.1.22 - Authenticated (Subscriber+) Missing Authorization to Order Completion / Free Ticket RedemptionCVE-2026-15398 Eventinwp-event-solution 中（Medium） CVSS 4.3 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/9 WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey' Parameters WP Compresswp-compress-image-optimizer 中（Medium） CVSS 5.3 あり（7.22.38） 10 件未満 Defiant
2026/9/9 WP Recipe Maker <= 10.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Recipe Ownership Takeover and Unpublishing via '[wprm-recipe]' ShortcodeCVE-2026-75905 WP Recipe Makerwp-recipe-maker 中（Medium） CVSS 4.3 あり（10.8.1） 45 件 Defiant・MITRE
2026/9/9 Eventin <= 4.1.17 - Missing Authorization to Authenticated (Subscriber+) Notification Flow Management via notification-flow REST API EndpointCVE-2026-11821 Eventinwp-event-solution 中（Medium） CVSS 5.4 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-19945 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 6.4 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Shop Manager+) SQL Injection via 'wpneo_reward' Post MetaCVE-2026-19944 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 4.9 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 User Access Manager <= 2.3.18 - Reflected Cross-Site Scripting via 'tab_group_section' ParameterCVE-2026-19797 User Access Manageruser-access-manager 中（Medium） CVSS 6.1 あり（2.3.19） 747 件 Defiant・MITRE
2026/9/8 Product Filter for WooCommerce by WBW <= 3.4.2 - Reflected Cross-Site Scripting via 'wpf_fid' ParameterCVE-2026-7804 Product Filter for WooCommerce by WBWwoo-product-filter 中（Medium） CVSS 6.1 あり（3.4.3） 10 件未満 Defiant・MITRE
2026/9/8 Ninja Forms <= 3.14.6 - Authenticated (Administrator+) PHP Object Injection via Form ImportCVE-2026-11363 Ninja Formsninja-forms 中（Medium） CVSS 6.6 あり（3.14.7） 1,272 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'fallback' Shortcode AttributeCVE-2026-77186 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'before' and 'after' Shortcode AttributesCVE-2026-77187 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 WP Travel – Ultimate Travel Booking System, Tour Management Engine <= 12.0.3 - Missing AuthorizationCVE-2026-81796 WP Travelwp-travel 中（Medium） CVSS 5.3 あり（12.0.4） 10 件未満 Defiant・MITRE
2026/9/8 Salon Booking System – Appointment Booking for Salons, Barbershops & Spas <= 10.31.5 - Missing AuthorizationCVE-2026-81793 Salon Booking Systemsalon-booking-system 中（Medium） CVSS 5.3 なし 12 件 Defiant・MITRE
2026/9/8 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-66632 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.1 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/8 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Captcha BypassCVE-2026-66674 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 5.3 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/8 Youzify – BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress <= 1.3.7 - Authenticated (Subscriber+) Arbitrary File ReadCVE-2026-81275 Youzifyyouzify 中（Medium） CVSS 6.5 なし 10 件未満 Defiant・MITRE
2026/9/8 EventON – Events Calendar <= 2.5.7 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-81791 EventONeventon-lite 中（Medium） CVSS 6.4 あり（2.5.8） 10 件 Defiant・MITRE
2026/9/8 SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments < 4.7.0 - Unauthorized WordPress Account CreationCVE-2026-75793 SureCartsurecart 中（Medium） CVSS 5.3 あり（4.7.0） 20 件 Defiant・MITRE
2026/9/8 Eventin <= 4.1.22 - Missing Authorization to Unauthenticated Arbitrary Order Creation and Status Manipulation via 'status' ParameterCVE-2026-12956 Eventinwp-event-solution 中（Medium） CVSS 5.3 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/8 IMPress for IDX Broker <= 3.3.0 - Unauthenticated Unauthorized Lead and Search ManipulationCVE-2026-81787 IMPress for IDX Brokeridx-broker-platinum 中（Medium） CVSS 5.3 あり（3.3.1） 10 件未満 Defiant・MITRE
2026/9/8 Return Refund and Exchange For WooCommerce <= 4.6.4 - Missing AuthorizationCVE-2026-81799 Return Refund and Exchange For WooComme…woo-refund-and-exchange-lite 中（Medium） CVSS 5.3 なし 10 件未満 Defiant・MITRE
2026/9/8 CoolClock <= 4.3.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83546 CoolClockcoolclock 中（Medium） CVSS 6.4 あり（4.3.8） 10 件未満 Defiant・MITRE
2026/9/8 IMPress for IDX Broker <= 3.3.0 - Missing AuthorizationCVE-2026-81788 IMPress for IDX Brokeridx-broker-platinum 中（Medium） CVSS 4.3 あり（3.3.1） 10 件未満 Defiant・MITRE
2026/9/8 miniOrange 2FA – Two Factor Authentication for WordPress (OTP, SMS, Email, Google Authenticator) 6.2.8 - 6.3.0 - Unauthenticated Second Factor Authentication BypassCVE-2026-77771 miniOrange 2FAminiorange-2-factor-authentication 中（Medium） CVSS 5.3 あり（19.3、6.3.1） 10 件未満 Defiant・MITRE
2026/9/8 Graphina <= 3.1.11 - Authenticated (Author+) Stored Cross-Site Scripting via 'iq_tree_tree_chart_template' Widget SettingCVE-2026-13709 Graphinagraphina-elementor-charts-and-graphs 中（Medium） CVSS 6.4 あり（3.1.12） 15 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use