WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「中」：2,754 件（22／56ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/21 MasterStudy LMS <= 3.7.49 - Authenticated (Subscriber+) HTML InjectionCVE-2026-81338 MasterStudy LMS WordPress Pluginmasterstudy-lms-learning-management-system 中（Medium） CVSS 6.3 あり（3.7.50） 10 件未満 Defiant・MITRE
2026/9/21 Email Subscribers by Icegram Express <= 5.9.34 - Missing AuthorizationCVE-2026-83555 Email Subscribers & Newslettersemail-subscribers 中（Medium） CVSS 5.3 あり（5.9.35） 87 件 Defiant・MITRE
2026/9/21 Booking Manager <= 2.1.20 - Authenticated (Author+) SQL InjectionCVE-2026-91024 Booking Managerbooking-manager 中（Medium） CVSS 6.5 あり（2.1.21） 10 件未満 Defiant・MITRE
2026/9/21 FluentBoards 1.95 - 2.0.15 - Unauthenticated Information ExposureCVE-2026-89331 FluentBoardsfluent-boards 中（Medium） CVSS 5.3 あり（2.1.0） 確認できず Defiant・MITRE
2026/9/21 The Events Calendar 4.5 - 6.17.4.1 - Unauthenticated Information ExposureCVE-2026-84741 The Events Calendarthe-events-calendar 中（Medium） CVSS 5.3 あり（6.17.5） 930 件 Defiant・MITRE
2026/9/21 Paid Member Subscriptions <= 3.0.0 - Missing AuthorizationCVE-2026-90951 Paid Membership Subscriptionspaid-member-subscriptions 中（Medium） CVSS 5.3 あり（3.1.0） 27 件 Defiant・MITRE
2026/9/21 Premium Packages <= 7.2.0 - Unauthenticated Forged Payment and Subscription EventsCVE-2026-93511 Premium Packageswpdm-premium-packages 中（Medium） CVSS 5.3 あり（7.2.1） 56 件 Defiant・MITRE
2026/9/21 WPC Smart Compare for WooCommerce <= 6.6.0 - Unauthenticated Information ExposureCVE-2026-90985 WPC Smart Compare for WooCommercewoo-smart-compare 中（Medium） CVSS 5.3 あり（6.6.1） 10 件未満 Defiant・MITRE
2026/9/20 Social Commerce for WooCommerce <= 2.5.4 - Missing AuthorizationCVE-2026-86785 Social Commerce for WooCommercewoo-to-facebook-shop 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/19 MPCX Lightbox 1.2.2 - 1.2.5 - Unauthenticated Information ExposureCVE-2026-87848 Lightboxmpcx-lightbox 中（Medium） CVSS 5.3 なし 10 件未満 Defiant・MITRE
2026/9/19 E-cab Taxi Booking Manager for Woocommerce < 2.0.8 - Missing AuthorizationCVE-2026-93928 E-cab Taxi Booking Manager for Woocomme…ecab-taxi-booking-manager 中（Medium） CVSS 5.3 あり（2.0.8） 確認できず Defiant・MITRE
2026/9/19 Partial Shipment for Woocommerce <= 3.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Settings Modification via wxp_order_shipment, wxp_order_item_shipment, and wxp_order_set_shipped AJAX ActionsCVE-2026-9858 Partial Shipment for WooCommercewc-partial-shipment 中（Medium） CVSS 4.3 あり（3.5） 確認できず Defiant・MITRE
2026/9/19 Gum Addon for Elementor <= 1.3.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'pop_tag' Widget SettingCVE-2026-8354 Gum Addon for Elementorgum-elementor-addon 中（Medium） CVSS 6.4 あり（1.3.16） 10 件未満 Defiant・MITRE
2026/9/19 Empik for Woocommerce <= 1.5.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Product Meta Update via empik_csv_process_emp_log_classes AJAX ActionCVE-2026-9766 Empik for Woocommerceempik-for-woocommerce 中（Medium） CVSS 4.3 あり（1.5.2） 確認できず Defiant・MITRE
2026/9/19 WordLift <= 3.54.10 - Unauthenticated Sensitive Information Exposure in JSON-LD REST API EndpointsCVE-2026-9289 WordLiftwordlift 中（Medium） CVSS 5.3 あり（3.54.14） 10 件未満 Defiant・MITRE
2026/9/19 Redux Framework <= 4.5.13 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Spinner Field InputCVE-2026-5410 Redux Frameworkredux-framework 中（Medium） CVSS 6.4 あり（4.5.14） 27 件 Defiant・MITRE
2026/9/19 Datalogics Ecommerce Delivery <= 2.6.65 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Modification via Multiple AJAX Actions (datalogics_create_shipping / datalogics_cancel_shipping)CVE-2026-9613 Datalogics Ecommerce Deliverydatalogics 中（Medium） CVSS 4.3 あり（2.6.66） 確認できず Defiant・MITRE
2026/9/19 TikTok <= 1.4.1 - Missing Authorization to Unauthenticated TikTok Integration Takeover via 'auth_code' ParameterCVE-2026-18346 TikToktiktok-for-business 中（Medium） CVSS 5.3 あり（1.4.2） 30 件 Defiant・MITRE
2026/9/19 YS LeadGen – Popups, Opt-ins & Lead Capture <= 2.1.4 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via User InputCVE-2026-1256 YS LeadGenysleadgen 中（Medium） CVSS 6.4 あり（2.1.5） 確認できず Defiant・MITRE
2026/9/19 LiteSpeed Cache <= 7.9 - Reflected Cross-Site Scripting via ESI 'esi' ParameterCVE-2026-76579 LiteSpeed Cachelitespeed-cache 中（Medium） CVSS 4.7 あり（7.9.1） 5,993 件 Defiant・MITRE
2026/9/19 WP Optimizer <= 2.5.0 - Authenticated (Administrator+) SQL Injection via 's' ParameterCVE-2026-6295 WP Optimizerwp-optimizer 中（Medium） CVSS 4.9 あり（2.6.0） 確認できず Defiant・MITRE
2026/9/19 WP Customer Reviews <= 3.7.8 - Reflected Cross-Site Scripting via 'wpcr3_fname' ParameterCVE-2026-11608 WP Customer Reviewswp-customer-reviews 中（Medium） CVSS 6.1 あり（3.8.0） 291 件 Defiant・MITRE
2026/9/19 Wow Elements Addons for Elementor <= 1.11.2 - Authenticated (Contributor+) Server-Side Request Forgery via Changelog File SettingCVE-2026-1641 Wow Elements Addons for Elementorwow-elements-addons-for-elementor 中（Medium） CVSS 6.5 あり（1.11.3） 確認できず Defiant・MITRE
2026/9/19 PDF Builder for WooCommerce. Create invoices,packing slips and more <= 2.0.11 - Missing Authorization to Authenticated (Subscriber+) Sensitive Invoice Data Disclosure via GetInvoiceDetail AJAX HandlerCVE-2026-11899 PDF Builder for WooCommerce. Create inv…woo-pdf-invoice-builder 中（Medium） CVSS 4.3 あり（2.0.12） 確認できず Defiant・MITRE
2026/9/19 SSL Zen <= 4.7.42 - Reflected Cross-Site Scripting via 'uri' and 'host' ParametersCVE-2026-15463 SSL Zenssl-zen 中（Medium） CVSS 6.1 あり（4.7.43） 確認できず Defiant・MITRE
2026/9/19 Real 3D Flipbook <= 5.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'lightboxtext' Shortcode AttributeCVE-2026-15098 Real3D Flipbookreal3d-flipbook-lite 中（Medium） CVSS 6.4 あり（5.1.2） 36 件 Defiant・MITRE
2026/9/19 Payment Gateway of Stripe for WooCommerce <= 5.0.8 - Unauthenticated Improper Verification of Cryptographic Signature via woocommerce_api_wt_stripe Webhook EndpointCVE-2026-9832 Payment Gateway of Stripe for WooCommer…payment-gateway-stripe-and-woocommerce-integration 中（Medium） CVSS 5.3 あり（5.0.9） 10 件未満 Defiant・MITRE
2026/9/19 WP Composer <= 1.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'pbwp_raw_shortcode' ShortcodeCVE-2026-2422 WP Composerpage-builder-wp 中（Medium） CVSS 6.4 あり（1.0.7） 確認できず Defiant・MITRE
2026/9/19 OTP Login & Register Woocommerce <= 2.7.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'fb-config' SettingCVE-2026-12402 OTP Login & Register Woocommercemobile-login-woocommerce 中（Medium） CVSS 4.4 あり（2.7.4） 確認できず Defiant・MITRE
2026/9/19 Search Atlas SEO <= 2.6.23 - Missing Authorization to Authenticated (Subscriber+) Whitelabel Password Modification via handle_whitelabel_password_early FunctionCVE-2026-15946 Search Atlas SEOmetasync 中（Medium） CVSS 4.3 あり（2.6.24） 10 件未満 Defiant・MITRE
2026/9/19 Search Atlas SEO <= 2.6.23 - Missing Authorization to Authenticated (Subscriber+) Site-Wide Option Modification via 'metasync_post_types' ParameterCVE-2026-15947 Search Atlas SEOmetasync 中（Medium） CVSS 4.3 あり（2.6.24） 10 件未満 Defiant・MITRE
2026/9/19 Create <= 2.5.3 - Authenticated (Author+) SQL Injection via 'order' ParameterCVE-2026-13200 Createmediavine-create 中（Medium） CVSS 6.5 あり（2.5.4） 確認できず Defiant・MITRE
2026/9/19 Create <= 2.5.3 - Authenticated (Author+) SQL Injection via 'order_by' ParameterCVE-2026-13191 Createmediavine-create 中（Medium） CVSS 6.5 あり（2.5.4） 確認できず Defiant・MITRE
2026/9/19 GoPay for WooCommerce <= 1.0.34 - Authenticated (Shop Manager+) SQL Injection via 'log_table_filter' ParameterCVE-2026-75959 GoPay for WooCommercegopay-gateway 中（Medium） CVSS 4.9 あり（1.0.35） 確認できず Defiant・MITRE
2026/9/19 BlockSpare - Gutenberg Site Builder Blocks & Starter Sites <= 4.2.6 - Incorrect Authorization to Authenticated (Subscriber+) Arbitrary Post CreationCVE-2026-1242 BlockSpareblockspare 中（Medium） CVSS 4.3 あり（5.0.0） 12 件 Defiant・MITRE
2026/9/19 Ibtana – Ecommerce Product Addons <= 0.4.7.7 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Meta Modification via 'iepa_use_gt_editor' AJAX ActionCVE-2026-1984 Ibtanaibtana-ecommerce-product-addons 中（Medium） CVSS 5.3 あり（0.4.7.8） 確認できず Defiant・MITRE
2026/9/19 Redux Framework <= 4.5.13 - Authenticated (Subscriber+) Cross-Site Scripting via User InputCVE-2026-5400 Redux Frameworkredux-framework 中（Medium） CVSS 6.4 あり（4.5.14） 27 件 Defiant・MITRE
2026/9/19 WP Ghost (Hide My WP Ghost) <= 7.0.02 - Unauthenticated Open Redirect via 'redirect_to' ParameterCVE-2026-7527 Hide My WP Ghosthide-my-wp 中（Medium） CVSS 4.7 あり（7.0.03） 確認できず Defiant・MITRE
2026/9/19 Flex Import <= 3.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Modification via 'license_activate_fleximp' and 'license_deactivate_fleximp' AJAX ActionsCVE-2026-9615 Flex Importflex-import 中（Medium） CVSS 4.3 あり（3.1） 確認できず Defiant・MITRE
2026/9/19 MC4WP: Mailchimp for WordPress <= 4.14.0 - Reflected Cross-Site Scripting via 'data' Dynamic Content TagCVE-2026-87917 MC4WPmailchimp-for-wp 中（Medium） CVSS 6.1 あり（4.14.1） 435 件 Defiant・MITRE
2026/9/19 Easy Appointments <= 3.12.27 - Missing Authorization to Authenticated (Contributor+) Sensitive Customer Information Exposure via ea_get_customers_ajax AJAX ActionCVE-2026-9232 Easy Appointmentseasy-appointments 中（Medium） CVSS 6.5 あり（3.12.28） 10 件未満 Defiant・MITRE
2026/9/19 Custom Field Template <= 2.7.8 - Authenticated (Contributor+) SQL Injection via 'post_ID' ParameterCVE-2026-9855 Custom Field Templatecustom-field-template 中（Medium） CVSS 6.5 あり（2.8） 確認できず Defiant・MITRE
2026/9/19 AppMySite <= 3.15.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via save_ams_license_key AJAX HandlerCVE-2026-13770 AppMySiteappmysite 中（Medium） CVSS 6.4 あり（3.15.4） 確認できず Defiant・MITRE
2026/9/19 Bread <= 2.9.12 - Missing Authorization to Unauthenticated Information ExposureCVE-2026-4792 Breadbread 中（Medium） CVSS 5.3 あり（2.9.13） 確認できず Defiant・MITRE
2026/9/18 WP2Social Auto Publish <= 2.4.12 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'pages' ParameterCVE-2026-12042 WP2Social Auto Publishfacebook-auto-publish 中（Medium） CVSS 4.4 あり（2.4.13） 確認できず Defiant・MITRE
2026/9/18 Tutor LMS <= 4.0.8 - Reflected Cross-Site Scripting via 'back_url' and 'search' ParametersCVE-2026-89081 Tutor LMStutor 中（Medium） CVSS 6.1 あり（4.0.9） 34 件 Defiant・MITRE
2026/9/18 Tutor LMS <= 4.0.8 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Deletion via 'lesson_id' ParameterCVE-2026-88944 Tutor LMStutor 中（Medium） CVSS 4.3 あり（4.0.9） 34 件 Defiant・MITRE
2026/9/18 Tutor LMS <= 4.0.8 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via 'student_id' ParameterCVE-2026-89333 Tutor LMStutor 中（Medium） CVSS 6.5 あり（4.0.9） 34 件 Defiant・MITRE
2026/9/18 SEO Booster <= 7.4.7 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Options Modification via handle_oauth_callback()CVE-2026-15660 SEO Boosterseo-booster 中（Medium） CVSS 4.3 あり（7.4.8） 確認できず Defiant・MITRE
2026/9/18 Pochipp <= 1.20.2 - Reflected Cross-Site Scripting via 'keyword' ParameterCVE-2026-92967 Pochipppochipp 中（Medium） CVSS 6.1 あり（1.20.3） 7,855 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use