WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度・国内で使われているもの：2,419 件（25／49ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/10 Site Kit by Google – Analytics, Search Console, AdSense, Speed <= 1.186.0 - Cross-Site Request ForgeryCVE-2026-62139 Site Kit by Googlegoogle-site-kit 中（Medium） CVSS 4.3 あり（1.187.0） 58,020 件 Defiant・MITRE
2026/9/10 Redux Framework <= 4.5.13.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Slider Field ValueCVE-2026-5399 Redux Frameworkredux-framework 中（Medium） CVSS 6.4 あり（4.5.14） 27 件 Defiant・MITRE
2026/9/10 Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder <= 1.15.46 - Reflected Cross-Site ScriptingCVE-2026-85645 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.47） 11 件 Defiant・MITRE
2026/9/9 Sidebar Manager Light <= 1.18 - Unauthenticated Stored Cross-Site Scripting via 'sbm_description' ParameterCVE-2026-76562 Sidebar Manager Lightsidebar-manager-light 高（High） CVSS 7.2 なし 10 件未満 Defiant・MITRE
2026/9/9 WP Fast Total Search – The Power of Indexed Search <= 1.82.284 - Missing AuthorizationCVE-2026-84821 WP Fast Total Searchfulltext-search 中（Medium） CVSS 5.3 あり（1.83.286） 10 件未満 Defiant・MITRE
2026/9/9 Visualizer – Tables & Charts Manager with Built-in AI Generator < 4.0.6 - Authenticated (Contributor+) Arbitrary File DeletionCVE-2026-86779 Visualizervisualizer 高（High） CVSS 8.1 あり（4.0.6） 385 件 Defiant・MITRE
2026/9/9 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-85116 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.5 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/9 MetForm – Contact Form, Survey, Quiz, Conditional Forms, Form Templates & Custom Form Builder for Elementor < 4.1.9 - Unauthenticated Email Header InjectionCVE-2026-86813 MetFormmetform 中（Medium） CVSS 5.3 あり（4.1.9） 65 件 Defiant・MITRE
2026/9/9 Translate WordPress with GTranslate < 3.0.10 - Authenticated (Administrator+) Stored Cross-Site ScriptingCVE-2025-15695 Translate WordPress with GTranslategtranslate 中（Medium） CVSS 4.4 あり（3.0.10） 4,089 件 Defiant・MITRE
2026/9/9 Kirki – Freeform Page Builder, Website Builder & Customizer 6.2.1 - 6.2.5 - Unauthenticated Information ExposureCVE-2026-84222 Kirkikirki 中（Medium） CVSS 5.3 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/9/9 SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent 3.3.6 - 3.5.2 - Unauthenticated Information ExposureCVE-2026-81022 SupportCandysupportcandy 中（Medium） CVSS 5.3 あり（3.5.3） 10 件未満 Defiant・MITRE
2026/9/9 Advanced Product Fields Extended for WooCommerce <= 3.1.6 - Unauthenticated Arbitrary File DeletionCVE-2026-81789 Advanced Product Fields Extended for Wo…advanced-product-fields-for-woocommerce-extended 緊急（Critical） CVSS 9.1 あり（3.1.7） 11 件 Defiant・MITRE
2026/9/9 Sina Extension for Elementor 3.7.1 - 3.10.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83541 Sina Extension for Elementorsina-extension-for-elementor 中（Medium） CVSS 6.4 あり（3.10.4） 10 件未満 Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Bluehostbluehost-wordpress-plugin 高（High） CVSS 8.8 あり（4.19.1） 31 件 Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Hostgatorwp-plugin-hostgator 高（High） CVSS 8.8 あり（3.2.1） 10 件未満 Defiant・MITRE
2026/9/9 YITH WooCommerce Waitlist Premium <= 3.35.0 - Authenticated (Subscriber+) Privilege Escalation to Admin via wp_ajax_yith_wcwtl_add_userCVE-2026-14359 YITH WooCommerce Waitlist Premiumyith-woocommerce-waiting-list-premium 高（High） CVSS 8.8 あり（3.36.0） 10 件未満 Defiant・MITRE
2026/9/9 Cookie Banner for GDPR / CCPA <= 4.4.1 - Unauthenticated Stored Cross-Site Scripting via 'wpl_user_preference' ParameterCVE-2026-14989 WPLP Cookie Consentgdpr-cookie-consent 高（High） CVSS 7.2 あり（4.4.2） 10 件未満 Defiant・MITRE
2026/9/9 myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wrapper' Shortcode AttributeCVE-2026-17149 Points Management System For Gamificati…mycred 中（Medium） CVSS 6.4 あり（3.2.5） 32 件 Defiant・MITRE
2026/9/9 Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) <= 4.1.22 - Authenticated (Subscriber+) Missing Authorization to Order Completion / Free Ticket RedemptionCVE-2026-15398 Eventinwp-event-solution 中（Medium） CVSS 4.3 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/9 WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey' Parameters WP Compresswp-compress-image-optimizer 中（Medium） CVSS 5.3 あり（7.22.38） 10 件未満 Defiant
2026/9/9 WPBot <= 8.7.3 - Unauthenticated Stored Cross-Site Scripting via 'conversation' ParameterCVE-2026-83593 WPBotchatbot 高（High） CVSS 7.2 あり（8.7.4） 10 件未満 Defiant・MITRE
2026/9/9 WP Recipe Maker <= 10.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Recipe Ownership Takeover and Unpublishing via '[wprm-recipe]' ShortcodeCVE-2026-75905 WP Recipe Makerwp-recipe-maker 中（Medium） CVSS 4.3 あり（10.8.1） 45 件 Defiant・MITRE
2026/9/9 Eventin <= 4.1.17 - Missing Authorization to Authenticated (Subscriber+) Notification Flow Management via notification-flow REST API EndpointCVE-2026-11821 Eventinwp-event-solution 中（Medium） CVSS 5.4 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-19945 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 6.4 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Shop Manager+) SQL Injection via 'wpneo_reward' Post MetaCVE-2026-19944 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 4.9 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 User Access Manager <= 2.3.18 - Reflected Cross-Site Scripting via 'tab_group_section' ParameterCVE-2026-19797 User Access Manageruser-access-manager 中（Medium） CVSS 6.1 あり（2.3.19） 747 件 Defiant・MITRE
2026/9/8 Product Filter for WooCommerce by WBW <= 3.4.2 - Reflected Cross-Site Scripting via 'wpf_fid' ParameterCVE-2026-7804 Product Filter for WooCommerce by WBWwoo-product-filter 中（Medium） CVSS 6.1 あり（3.4.3） 10 件未満 Defiant・MITRE
2026/9/8 Ninja Forms <= 3.14.6 - Authenticated (Administrator+) PHP Object Injection via Form ImportCVE-2026-11363 Ninja Formsninja-forms 中（Medium） CVSS 6.6 あり（3.14.7） 1,272 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'fallback' Shortcode AttributeCVE-2026-77186 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'before' and 'after' Shortcode AttributesCVE-2026-77187 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 FireBox <= 3.1.10 - Authenticated (Author+) Remote Code Execution to Privilege EscalationCVE-2026-76801 FireBoxfirebox 高（High） CVSS 8.8 あり（3.1.11） 10 件未満 Defiant・MITRE
2026/9/8 Eventin <= 4.1.22 - Authenticated (Contirbutor+) Local File Inclusion via 'event_layout' ParameterCVE-2026-15667 Eventinwp-event-solution 高（High） CVSS 7.5 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/8 Eventin <= 4.1.22 - Authenticated (Custom+) Local File Inclusion via 'event_layout' ParameterCVE-2026-15406 Eventinwp-event-solution 高（High） CVSS 7.5 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/8 WP Travel – Ultimate Travel Booking System, Tour Management Engine <= 12.0.3 - Missing AuthorizationCVE-2026-81796 WP Travelwp-travel 中（Medium） CVSS 5.3 あり（12.0.4） 10 件未満 Defiant・MITRE
2026/9/8 Page Visits Counter – Lite <= 1.2.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-81795 Page Visits Counterpage-visits-counter-lite 高（High） CVSS 7.2 あり（2.0.0） 10 件未満 Defiant・MITRE
2026/9/8 Salon Booking System – Appointment Booking for Salons, Barbershops & Spas <= 10.31.5 - Missing AuthorizationCVE-2026-81793 Salon Booking Systemsalon-booking-system 中（Medium） CVSS 5.3 なし 12 件 Defiant・MITRE
2026/9/8 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-66632 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.1 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/8 Wise Chat <= 3.4.2 - Unauthenticated PHP Object InjectionCVE-2026-81784 Wise Chatwise-chat 高（High） CVSS 8.1 あり（3.4.3） 10 件未満 Defiant・MITRE
2026/9/8 Jetpack – WP Security, Backup, Speed, & Growth 16.1 - 16.1.2 - Unauthenticated Stored Cross-Site Scripting Jetpackjetpack 高（High） CVSS 7.2 あり（16.1.3） 11,044 件 Defiant
2026/9/8 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Captcha BypassCVE-2026-66674 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 5.3 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/8 Kirki – Freeform Page Builder, Website Builder & Customizer 6.2.1 - 6.2.5 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-84219 Kirkikirki 高（High） CVSS 7.2 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/9/8 Youzify – BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress <= 1.3.7 - Authenticated (Subscriber+) Arbitrary File ReadCVE-2026-81275 Youzifyyouzify 中（Medium） CVSS 6.5 なし 10 件未満 Defiant・MITRE
2026/9/8 EventON – Events Calendar <= 2.5.7 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-81791 EventONeventon-lite 中（Medium） CVSS 6.4 あり（2.5.8） 10 件 Defiant・MITRE
2026/9/8 SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments < 4.7.0 - Unauthorized WordPress Account CreationCVE-2026-75793 SureCartsurecart 中（Medium） CVSS 5.3 あり（4.7.0） 20 件 Defiant・MITRE
2026/9/8 Eventin <= 4.1.22 - Missing Authorization to Unauthenticated Arbitrary Order Creation and Status Manipulation via 'status' ParameterCVE-2026-12956 Eventinwp-event-solution 中（Medium） CVSS 5.3 あり（4.1.23） 10 件未満 Defiant・MITRE
2026/9/8 IMPress for IDX Broker <= 3.3.0 - Unauthenticated Unauthorized Lead and Search ManipulationCVE-2026-81787 IMPress for IDX Brokeridx-broker-platinum 中（Medium） CVSS 5.3 あり（3.3.1） 10 件未満 Defiant・MITRE
2026/9/8 Return Refund and Exchange For WooCommerce <= 4.6.4 - Missing AuthorizationCVE-2026-81799 Return Refund and Exchange For WooComme…woo-refund-and-exchange-lite 中（Medium） CVSS 5.3 なし 10 件未満 Defiant・MITRE
2026/9/8 CoolClock <= 4.3.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83546 CoolClockcoolclock 中（Medium） CVSS 6.4 あり（4.3.8） 10 件未満 Defiant・MITRE
2026/9/8 IMPress for IDX Broker <= 3.3.0 - Missing AuthorizationCVE-2026-81788 IMPress for IDX Brokeridx-broker-platinum 中（Medium） CVSS 4.3 あり（3.3.1） 10 件未満 Defiant・MITRE
2026/9/8 miniOrange 2FA – Two Factor Authentication for WordPress 5.3.24 - 6.3.0 - Missing Authorization to Unauthenticated Arbitrary Option DeletionCVE-2026-77770 miniOrange 2FAminiorange-2-factor-authentication 高（High） CVSS 7.3 あり（19.3、6.3.1） 10 件未満 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use