WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（2／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/16 WPConsent <= 1.1.9 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Simple HTML DOM Parser Noise-Key Restoration (mXSS)CVE-2026-97640 WPConsentwpconsent-cookies-banner-privacy-suite 高（High） CVSS 7.2 あり（1.2.0） 85 件 Defiant・MITRE
2026/10/16 WP Mail Logging <= 1.17.0 - Authenticated (Administrator+) Sensitive Information Exposure in LIKE Wildcard in Personal Data Export EmailCVE-2026-109401 WP Mail Loggingwp-mail-logging 低（Low） CVSS 2.7 あり（1.17.1） 確認できず Defiant・MITRE
2026/10/16 WP Photo Album Plus <= 9.3.02.002 - Authenticated (Custom+) Command Injection via 'value' Parameter (crop item) in update-photo AJAX ActionCVE-2026-92115 WP Photo Album Pluswp-photo-album-plus 高（High） CVSS 8.8 あり（9.3.02.003） 18 件 Defiant・MITRE
2026/10/16 WP Map Block <= 3.0.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Map Publish/Unpublish/Delete via set_status() and bulk() REST EndpointsCVE-2026-19798 WP Map Blockwp-map-block 中（Medium） CVSS 4.3 あり（3.1.0） 15 件 Defiant・MITRE
2026/10/16 HUSKY <= 1.4.5 - Unauthenticated Sensitive Information Exposure in 'woof_tm_data' Localized ScriptCVE-2026-107646 HUSKYwoocommerce-products-filter 中（Medium） CVSS 5.3 あり（1.4.6） 44 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.1 - Authenticated (Administrator+) SQL Injection via 'orderby' ParameterCVE-2026-111178 WP Booking Systemwp-booking-system 中（Medium） CVSS 4.9 あり（2.1.0.2） 13 件 Defiant・MITRE
2026/10/16 WP Compress <= 7.25.00 - Unauthenticated Privilege Escalation to 'group'/'setting'/'value' Parameters on comms EndpointCVE-2026-104755 WP Compresswp-compress-image-optimizer 中（Medium） CVSS 4.8 あり（7.26.00） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via display_nameCVE-2026-15222 User Registration & Membershipuser-registration 中（Medium） CVSS 5.4 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Vitepos <= 3.6.1 - Authenticated (Vendor+) SQL Injection via 'src_by[].val' Parameter via 'bt' OperatorCVE-2026-109414 Viteposvitepos-lite 中（Medium） CVSS 6.5 あり（3.6.2） 確認できず Defiant・MITRE
2026/10/16 Ultra Addons for Contact Form 7 <= 3.5.54 - Unauthenticated Stored Cross-Site Scripting via File UploadCVE-2026-103999 Ultra Addons for Contact Form 7ultimate-addons-for-contact-form-7 高（High） CVSS 7.2 あり（3.5.55） 52 件 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Comment Content via unfiltered_html Grant to Customer RoleCVE-2026-97470 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode AttributeCVE-2026-103480 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Search Regex 3.5 - Authenticated (Subscriber+) Remote Code Execution via User Meta Serialized String CorruptionCVE-2026-104932 Search Regexsearch-regex 高（High） CVSS 8.0 あり（3.5.1） 34,483 件 Defiant・MITRE
2026/10/16 Theme My Login <= 7.2.1 - Unauthenticated Privilege Escalation via 'user_pass1' POST Parameter in wp_pre_insert_user_data FilterCVE-2026-89079 Theme My Logintheme-my-login 緊急（Critical） CVSS 9.8 あり（7.2.2） 260 件 Defiant・MITRE
2026/10/16 10Web Booster <= 2.34.5 - Unauthenticated Limited File Write / Cache Poisoning via Query-string Parameter Traversal in Page-Cache PathCVE-2026-103896 10Web Boostertenweb-speed-optimizer 高（High） CVSS 7.5 あり（2.34.8） 15 件 Defiant・MITRE
2026/10/16 Tainacan <= 1.3.0 - Authenticated (Subscriber+) Path Traversal to Arbitrary File Read via 'guid' ParameterCVE-2026-93767 Tainacantainacan 中（Medium） CVSS 6.5 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/16 ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.7 - Unauthenticated Arbitrary File Upload via IMAP Email AttachmentCVE-2026-103768 ELEX WordPress HelpDesk & Customer Tick…elex-helpdesk-customer-support-ticket-system 緊急（Critical） CVSS 9.8 あり（3.3.8） 確認できず Defiant・MITRE
2026/10/16 SQL Chart Builder <= 3.0.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SQL Chart Label (X-axis) via Stored User FieldCVE-2026-100158 SQL Chart Buildersql-chart-builder 中（Medium） CVSS 6.4 あり（3.0.7） 10 件未満 Defiant・MITRE
2026/10/16 Hide My WP Ghost <= 7.0.12 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-89051 Hide My WP Ghosthide-my-wp 高（High） CVSS 7.2 あり（7.0.13） 確認できず Defiant・MITRE
2026/10/16 Tutor LMS <= 4.0.8 - Authenticated (Subscriber+) Reflected DOM-Based Cross-Site Scripting via 'redirect_url' ParameterCVE-2026-88963 Tutor LMStutor 中（Medium） CVSS 6.1 あり（4.0.9） 34 件 Defiant・MITRE
2026/10/16 Slim SEO <= 4.11.1 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'Biographical Info' User MetaCVE-2026-104001 Slim SEOslim-seo 中（Medium） CVSS 5.4 あり（4.11.2） 231 件 Defiant・MITRE
2026/10/16 SiteOrigin CSS <= 1.6.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Anchor href via Visual InspectorCVE-2026-111122 SiteOrigin CSSso-css 高（High） CVSS 7.2 あり（1.6.8） 確認できず Defiant・MITRE
2026/10/16 SiteOrigin CSS <= 1.6.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Author URL via Inspector href SinkCVE-2026-107764 SiteOrigin CSSso-css 高（High） CVSS 7.2 あり（1.6.8） 確認できず Defiant・MITRE
2026/10/16 Lightweight Cookie Notice <= 1.19 - Sensitive Information Exposure via W3TC_DYNAMIC_SECURITY ConstantCVE-2026-12272 Lightweight Cookie Noticelightweight-cookie-notice-free 中（Medium） CVSS 5.3 あり（1.20） 10 件未満 Defiant・MITRE
2026/10/16 Schema & Structured Data for WP & AMP <= 1.67 - Unauthenticated Stored Cross-Site Scripting via 'saswp_review_text' ParameterCVE-2026-96570 Schema & Structured Data for WP & AMPschema-and-structured-data-for-wp 高（High） CVSS 7.2 あり（1.68） 891 件 Defiant・MITRE
2026/10/16 Salon Booking System <= 10.31.9 - Unauthenticated Stored Cross-Site Scripting via Custom Checkout Field (Html/File Type) via Public Booking AJAXCVE-2026-109232 Salon Booking Systemsalon-booking-system 高（High） CVSS 7.2 あり（10.31.10） 12 件 Defiant・MITRE
2026/10/16 Simply Schedule Appointments <= 1.6.12.35 - Unauthenticated Stored Cross-Site Scripting via 'status' Parameter via /wp-json/ssa/v1/appointments/{id}CVE-2026-104000 Simply Schedule Appointmentssimply-schedule-appointments 高（High） CVSS 7.2 あり（1.6.12.37） 17 件 Defiant・MITRE
2026/10/16 Quick PayPal Payments: Payment Button & Form <= 6.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'form' Shortcode AttributeCVE-2026-110017 Quick PayPal Paymentsquick-paypal-payments 中（Medium） CVSS 6.4 あり（6.0.5） 確認できず Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' ParameterCVE-2026-107748 User Profile Builderprofile-builder 中（Medium） CVSS 6.4 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Unauthenticated Privilege Escalation to 'role' Parameter via Legacy Meta-Name Collision on [wppb-register]CVE-2026-109447 User Profile Builderprofile-builder 高（High） CVSS 8.1 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Unauthenticated Stored Cross-Site Scripting via First Name FieldCVE-2026-100186 User Profile Builderprofile-builder 高（High） CVSS 7.2 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 PilotPress <= 2.0.43 - Authenticated (Subscriber+) Privilege Escalation via Account Takeover via 'username' ParameterCVE-2026-85659 PilotPresspilotpress 高（High） CVSS 8.8 あり（2.0.44） 確認できず Defiant・MITRE
2026/10/16 NotificationX <= 3.3.3 - Unauthenticated Stored Cross-Site Scripting via 'name' Parameter via popup-submit REST RouteCVE-2026-109513 NotificationXnotificationx 高（High） CVSS 7.2 あり（3.3.4） 10 件未満 Defiant・MITRE
2026/10/16 Opti-Behavior <= 1.9.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'targetUrl' ParameterCVE-2026-95686 Opti-Behavioropti-behavior 高（High） CVSS 7.2 あり（1.10.0） 確認できず Defiant・MITRE
2026/10/16 Opti-Behavior <= 1.9.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'country_name' Location ParameterCVE-2026-95809 Opti-Behavioropti-behavior 高（High） CVSS 7.2 あり（1.10.0） 確認できず Defiant・MITRE
2026/10/16 My Calendar <= 3.8.7 - Unauthenticated Privilege Escalation to 'mcs' Parameter via Reflected Shortcode Injection into 'above' AttributeCVE-2026-104798 My Calendarmy-calendar 緊急（Critical） CVSS 9.8 あり（3.4.25、3.5.22、3.6.18） 667 件 Defiant・MITRE
2026/10/16 NotificationX <= 3.3.3 - Missing Authorization to Unauthenticated Arbitrary Content Injection via 'nx_id' Parameter on /popup-submit REST RouteCVE-2026-110721 NotificationXnotificationx 中（Medium） CVSS 5.3 あり（3.3.4） 10 件未満 Defiant・MITRE
2026/10/16 Nexter Extension <= 4.7.11 - Authenticated (Subscriber+) Privilege Escalation to 'reset-view' ParameterCVE-2026-111114 Nexter Extensionnexter-extension 高（High） CVSS 7.5 あり（4.7.12） 確認できず Defiant・MITRE
2026/10/16 miniOrange OTP Login, Verification and SMS Notifications <= 5.5.8 - Unauthenticated Authentication Bypass via Delay OTP Grace StateCVE-2026-103895 miniOrange OTP Login, Verification and …miniorange-otp-verification 高（High） CVSS 8.1 あり（5.6.0） 10 件未満 Defiant・MITRE
2026/10/16 Modula Image Gallery <= 3.0.11 - Missing Authorization to Unauthenticated Sensitive Information Exposure via Exposed 'modulaSettings' REST field on the modula-gallery CPTCVE-2026-107659 Modula Image Gallerymodula-best-grid-gallery 高（High） CVSS 7.5 あり（3.0.12） 69 件 Defiant・MITRE
2026/10/16 Mang Board <= 2.4.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'content' ParameterCVE-2026-109512 Mang Boardmangboard 中（Medium） CVSS 6.4 あり（2.4.5） 10 件未満 Defiant・MITRE
2026/10/16 Mang Board <= 2.4.3 - Unauthenticated Stored Cross-Site Scripting via 'content' Parameter via content_reply AJAXCVE-2026-109998 Mang Boardmangboard 高（High） CVSS 7.2 あり（2.4.4） 10 件未満 Defiant・MITRE
2026/10/16 MailOptin <= 1.2.78.6 - Unauthenticated Privilege Escalation to 'form_custom_field_mappings' ParameterCVE-2026-109515 MailOptinmailoptin 緊急（Critical） CVSS 9.8 あり（1.2.78.7） 30 件 Defiant・MITRE
2026/10/16 Mang Board <= 2.4.4 - Unauthenticated Arbitrary File Upload via 'image_path' ParameterCVE-2026-109219 Mang Boardmangboard 緊急（Critical） CVSS 9.8 あり（2.4.5） 10 件未満 Defiant・MITRE
2026/10/16 Forminator Forms <= 1.58.1 - Unauthenticated Arbitrary Shortcode Execution via 's' Search Parameter and Anonymous Comment via render_blockCVE-2026-103911 Forminator Formsforminator 中（Medium） CVSS 6.5 あり（1.58.2） 527 件 Defiant・MITRE
2026/10/16 Forminator Forms <= 1.58.1 - Unauthenticated Arbitrary Shortcode Execution via 'User-Agent' Header and 'referer_url' Parameter via Quiz Notification Merge TagsCVE-2026-101335 Forminator Formsforminator 中（Medium） CVSS 6.5 あり（1.58.2） 527 件 Defiant・MITRE
2026/10/16 Broken Link Checker <= 2.4.14.1 - Unauthenticated Arbitrary Shortcode Execution via parser_callbackCVE-2026-96562 Broken Link Checkerbroken-link-checker 中（Medium） CVSS 6.5 あり（2.4.15） 確認できず Defiant・MITRE
2026/10/16 Bulk Page Generator <= 3.1.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Page Creation/Modification/Deletion via 'authorize' Parameter / Suite OAuth FlowCVE-2026-110019 Bulk Page Generatorlpagery 中（Medium） CVSS 4.3 あり（3.1.1） 確認できず Defiant・MITRE
2026/10/16 Mail Mint <= 1.31.4 - Authenticated (Custom+) SQL Injection via 'filters' ParameterCVE-2026-111106 Mail Mintmail-mint 中（Medium） CVSS 6.5 あり（1.31.5） 確認できず Defiant・MITRE
2026/10/16 InstaWP Connect <= 0.1.4.1 - Authenticated (Subscriber+) Privilege Escalation via Role-as-Capability Admin Page and API Key Disclosure via 'instawp_sync_tab_roles' Role-as-Capability SettingCVE-2026-109400 InstaWP Connectinstawp-connect 高（High） CVSS 7.5 あり（0.1.4.2） 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use