WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（20／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/3 Helpdesk Support Ticket System for WooCommerce <= 2.1.6 - Insecure Direct Object Reference to Authenticated (Subscriber+) Arbitrary Ticket Response Deletion via 'id' ParameterCVE-2026-11399 Helpdesk Support Ticket System for WooC…support-ticket-system-for-woocommerce 中（Medium） CVSS 4.3 あり（2.2.0） 確認できず Defiant・MITRE
2026/10/3 Strong Testimonials <= 3.3.11 - Unauthenticated Stored Cross-Site Scripting via 'platform_user_photo' Custom FieldCVE-2026-96650 Strong Testimonialsstrong-testimonials 高（High） CVSS 7.2 あり（3.3.12） 10 件未満 Defiant・MITRE
2026/10/3 WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons <= 4.7.3 - Unauthenticated Sensitive Information Disclosure via HMAC Signature Collision (Missing Domain Separation) in HMAC Signature Domain-Separation Flaw in `/yamidoo/v1/customer`…CVE-2026-100149 WPZOOM Connectsocial-icons-widget-by-wpzoom 中（Medium） CVSS 5.3 あり（4.7.4） 216 件 Defiant・MITRE
2026/10/3 Simple Membership <= 4.8.3 - Missing Authorization to Unauthenticated Account Takeover and Sensitive Information Disclosure via 'email' Parameter on Activation EndpointsCVE-2026-97337 Simple Membershipsimple-membership 高（High） CVSS 7.5 あり（4.8.4） 794 件 Defiant・MITRE
2026/10/3 Transliterator <= 2.5.8 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Predictable {rstr_keep} PlaceholderCVE-2026-96575 Transliteratorserbian-transliteration 高（High） CVSS 7.2 あり（2.5.9） 確認できず Defiant・MITRE
2026/10/3 Magic Tooltips For Contact Form 7 <= 1.0.34 - Unauthenticated Stored Cross-Site Scripting via 'esc_html' Filter Override via Comment AuthorCVE-2026-101928 Magic Tooltips For Contact Form 7magic-tooltips-for-contact-form-7 高（High） CVSS 7.2 あり（1.0.35） 10 件未満 Defiant・MITRE
2026/10/3 GeoDirectory <= 2.8.186 - Unauthenticated SQL Injection via 'latitude' Parameter via Stored Pending ListingCVE-2026-103913 GeoDirectorygeodirectory 高（High） CVSS 7.5 あり（2.8.187） 12 件 Defiant・MITRE
2026/10/3 Calculated Fields Form <= 5.5.1.5 - Reflected DOM-Based Cross-Site Scripting via URL Parameter Substitution in Calculated Field EquationCVE-2026-103909 Calculated Fields Formcalculated-fields-form 中（Medium） CVSS 6.1 あり（5.5.1.6） 23 件 Defiant・MITRE
2026/10/3 Alt Text AI <= 1.10.41 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Content Modification via atai_enrich_post_content AJAX ActionCVE-2026-91108 Alt Text AIalttext-ai 中（Medium） CVSS 4.3 あり（1.10.42） 確認できず Defiant・MITRE
2026/10/3 All in One SEO <= 5.0.2 - Unauthenticated Arbitrary Shortcode Execution via 's' Search Query ParameterCVE-2026-100152 All in One SEOall-in-one-seo-pack 中（Medium） CVSS 6.5 あり（5.0.2.1） 109,334 件 Defiant・MITRE
2026/10/3 Academy LMS <= 4.0.1 - Authenticated (Contributor+) Arbitrary HTML File Read via 'id' Parameter in /wp/v2/templates REST Route Academy LMSacademy 中（Medium） CVSS 4.3 あり（4.0.2） 確認できず Defiant
2026/10/3 Real Cookie Banner: GDPR & ePrivacy Cookie Consent <= 5.3.5 - Unauthenticated Stored Cross-Site Scripting via CommentCVE-2026-92977 Real Cookie Bannerreal-cookie-banner 高（High） CVSS 7.2 あり（5.3.6） 10 件未満 Defiant・MITRE
2026/10/2 LearnPress – WordPress LMS Plugin for Create and Sell Online Courses <= 4.4.9.1 - Missing AuthorizationCVE-2026-39717 LearnPresslearnpress 中（Medium） CVSS 4.3 なし 13 件 Defiant・MITRE
2026/10/2 Mindio Magic MCP <= 0.5.6 - Authenticated (Subscriber+) Information ExposureCVE-2026-104402 Mindio Magic MCPmindio-magic-mcp 中（Medium） CVSS 4.3 あり（0.7.1） 確認できず Defiant・MITRE
2026/10/2 Groundhogg <= 4.9 - Authenticated (Sales Person+) Privilege Escalation via Contact Identity Rebinding leading to Administrator Account Takeover to 'user_id' Parameter (v3 /contacts) chained with v4 /emails/testCVE-2026-97644 Groundhogggroundhogg 高（High） CVSS 8.8 あり（4.9.1） 確認できず Defiant・MITRE
2026/10/2 WDS MCP Content Manager <= 3.10.4 - Missing AuthorizationCVE-2026-39599 WDS MCP Content Managerwds-mcp-content-manager 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/2 Issues and Series for Newspapers, Magazines, Publishers, Writers <= 3.1.3 - Authenticated (Contributor+) Insecure Direct Object ReferenceCVE-2026-39444 Issues and Series for Newspapers, Magaz…organize-series 中（Medium） CVSS 4.3 あり（3.1.4） 10 件未満 Defiant・MITRE
2026/10/2 WebSamurai <= 1.0.7 - Missing AuthorizationCVE-2026-39439 WebSamuraiwebsamurai 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/2 Airano MCP Bridge <= 2.11.0 - Missing AuthorizationCVE-2026-32585 Airano MCP Bridgeairano-mcp-bridge 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/2 Smart One Click Setup – Complete Demo Import & Export <= 1.4.3 - Unauthenticated Information ExposureCVE-2026-32584 Smart One Click Setupsmart-one-click-setup 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/2 LearnPress <= 4.4.7 - Reflected DOM-Based Cross-Site Scripting via 'orderby' ParameterCVE-2026-92538 LearnPresslearnpress 中（Medium） CVSS 6.1 あり（4.4.8） 13 件 Defiant・MITRE
2026/10/2 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.4 - Reflected Cross-Site Scripting via ppress_billing_address Filename ParameterCVE-2026-92551 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 6.1 あり（4.17.5） 3,212 件 Defiant・MITRE
2026/10/2 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.4 - Authenticated (Subscriber+) Sensitive Information Exposure via Shortcode Injection via Nickname and Biographical Info Profile FieldsCVE-2026-92536 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 高（High） CVSS 8.8 あり（4.17.5） 3,212 件 Defiant・MITRE
2026/10/2 EWWW Image Optimizer <= 8.7.7 - Reflected Cross-Site Scripting via REQUEST_URI Parameter KeyCVE-2026-92826 EWWW Image Optimizerewww-image-optimizer 中（Medium） CVSS 6.1 あり（8.8.0） 21,515 件 Defiant・MITRE
2026/10/2 EmbedPress <= 4.6.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slidesShow' Block AttributeCVE-2026-92727 EmbedPressembedpress 中（Medium） CVSS 6.4 あり（4.6.7） 139 件 Defiant・MITRE
2026/10/2 Beaver Builder Page Builder <= 2.11.0.5 - Authenticated (Contributor+) SQL Injection via 'fields[][value]' ParameterCVE-2026-95865 Beaver Builder Page Builderbeaver-builder-lite-version 中（Medium） CVSS 6.5 あり（2.11.0.6） 62 件 Defiant・MITRE
2026/10/2 SupportCandy <= 3.5.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'name' ParameterCVE-2026-94378 SupportCandysupportcandy 中（Medium） CVSS 6.4 あり（3.5.4） 10 件未満 Defiant・MITRE
2026/10/2 Ivory Search <= 5.5.18 - Reflected DOM-Based Cross-Site Scripting via 's' ParameterCVE-2026-92243 Ivory Searchadd-search-to-menu 中（Medium） CVSS 6.1 あり（5.5.19） 218 件 Defiant・MITRE
2026/10/2 SupportCandy <= 3.5.3 - Authenticated (Custom+) SQL Injection via 'sort_by' ParameterCVE-2026-94539 SupportCandysupportcandy 中（Medium） CVSS 6.5 あり（3.5.4） 10 件未満 Defiant・MITRE
2026/10/2 Ultimate Member <= 2.13.1 - Missing Authorization to Unauthenticated Sensitive Profile Field Disclosure via Member Directory Field Privacy BypassCVE-2026-93428 Ultimate Memberultimate-member 高（High） CVSS 7.5 あり（2.14.0） 450 件 Defiant・MITRE
2026/10/2 Jeg Kit for Elementor <= 3.2.19 - Unauthenticated Stored Cross-Site Scripting via CommentCVE-2026-100180 Jeg Kit for Elementorjeg-elementor-kit 中（Medium） CVSS 5.4 あり（3.2.20） 68 件 Defiant・MITRE
2026/10/2 Ultimate Member <= 2.13.1 - Unauthenticated Stored Cross-Site Scripting via 'form_id' ParameterCVE-2026-96270 Ultimate Memberultimate-member 高（High） CVSS 7.2 あり（2.14.0） 450 件 Defiant・MITRE
2026/10/2 LearnPress – WordPress LMS Plugin for Create and Sell Online Courses <= 4.4.9 - Unauthenticated Insecure Direct Object ReferenceCVE-2026-104403 LearnPresslearnpress 中（Medium） CVSS 5.3 あり（4.4.9.1） 13 件 Defiant・MITRE
2026/10/2 Advanced Ads – Ad Manager & AdSense <= 2.0.26 - Authenticated (Subscriber+) Information ExposureCVE-2026-94180 Advanced Adsadvanced-ads 中（Medium） CVSS 4.3 なし 3,548 件 Defiant・MITRE
2026/10/2 Download Manager <= 3.3.70 - Unauthenticated Information ExposureCVE-2026-94405 Download Managerdownload-manager 中（Medium） CVSS 5.3 あり（3.3.71） 2,334 件 Defiant・MITRE
2026/10/2 WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps <= 5.5.82 - Unauthenticated SQL InjectionCVE-2026-95605 WP Data Accesswp-data-access 高（High） CVSS 7.5 あり（5.5.83） 63 件 Defiant・MITRE
2026/10/2 Cost Calculator Builder <= 4.0.17 - Unauthenticated Information ExposureCVE-2026-97307 Cost Calculator Buildercost-calculator-builder 中（Medium） CVSS 5.3 あり（4.0.18） 10 件未満 Defiant・MITRE
2026/10/2 HUSKY – Products Filter for WooCommerce Professional <= 1.4.3.2 - Reflected Cross-Site ScriptingCVE-2026-95608 HUSKYwoocommerce-products-filter 中（Medium） CVSS 6.1 あり（1.4.4） 44 件 Defiant・MITRE
2026/10/2 Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI <= 3.6.1 - Reflected Cross-Site ScriptingCVE-2026-94670 Everest Formseverest-forms 中（Medium） CVSS 6.1 あり（3.6.2） 88 件 Defiant・MITRE
2026/10/2 Disable and Remove Google Fonts | GDPR & DSGVO friendly <= 2.0.2 - Reflected Cross-Site ScriptingCVE-2026-95595 Disable and Remove Google Fontsdisable-remove-google-fonts 中（Medium） CVSS 6.1 あり（2.0.3） 確認できず Defiant・MITRE
2026/10/2 UpSolution Core <= 9.3 - Unauthenticated SQL InjectionCVE-2026-95610 UpSolution Coreus-core 高（High） CVSS 7.5 あり（9.3.1） 10 件未満 Defiant・MITRE
2026/10/2 Booking for Appointments and Events Calendar – Amelia <= 2.4.10 - Missing AuthorizationCVE-2026-96461 Booking for Appointments and Events Cal…ameliabooking 中（Medium） CVSS 5.3 あり（2.4.11） 56 件 Defiant・MITRE
2026/10/2 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress <= 4.17.3 - Missing AuthorizationCVE-2026-96337 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 4.3 あり（4.17.4） 3,212 件 Defiant・MITRE
2026/10/2 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress <= 4.17.3 - Missing AuthorizationCVE-2026-96518 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 5.3 あり（4.17.4） 3,212 件 Defiant・MITRE
2026/10/2 FiboSearch – Ajax Search for WooCommerce <= 1.34.1 - Reflected Cross-Site ScriptingCVE-2026-96553 FiboSearchajax-search-for-woocommerce 中（Medium） CVSS 6.1 あり（1.34.2） 35 件 Defiant・MITRE
2026/10/2 Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin <= 2.13.1 - Unauthenticated Privilege EscalationCVE-2026-96539 Ultimate Memberultimate-member 高（High） CVSS 7.3 あり（2.14.0） 450 件 Defiant・MITRE
2026/10/2 Unlimited Elements for Elementor <= 2.0.20 - Unauthenticated SQL InjectionCVE-2026-103355 Unlimited Elements for Elementorunlimited-elements-for-elementor 高（High） CVSS 7.5 あり（2.0.21） 82 件 Defiant・MITRE
2026/10/2 Unlimited Elements for Elementor <= 2.0.19 - Authenticated (Contributor+) PHP Object InjectionCVE-2026-95534 Unlimited Elements for Elementorunlimited-elements-for-elementor 高（High） CVSS 7.5 あり（2.0.20） 82 件 Defiant・MITRE
2026/10/2 Unlimited Elements for Elementor <= 2.0.20 - Reflected Cross-Site ScriptingCVE-2026-103344 Unlimited Elements for Elementorunlimited-elements-for-elementor 中（Medium） CVSS 6.1 あり（2.0.21） 82 件 Defiant・MITRE
2026/10/2 Unlimited Elements for Elementor <= 2.0.19 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-94662 Unlimited Elements for Elementorunlimited-elements-for-elementor 高（High） CVSS 7.2 あり（2.0.20） 82 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use