WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「中」：2,755 件（29／56ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/10 Redux Framework <= 4.5.13.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Slider Field ValueCVE-2026-5399 Redux Frameworkredux-framework 中（Medium） CVSS 6.4 あり（4.5.14） 27 件 Defiant・MITRE
2026/9/10 Aruba HiSpeed Cache <= 3.0.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post ContentCVE-2026-15889 Aruba HiSpeed Cachearuba-hispeed-cache 中（Medium） CVSS 6.4 あり（3.0.15） 確認できず Defiant・MITRE
2026/9/10 Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder <= 1.15.46 - Reflected Cross-Site ScriptingCVE-2026-85645 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.47） 11 件 Defiant・MITRE
2026/9/10 Easy Google Fonts <= 2.0.4 - Authenticated (Author+) Stored Cross-Site Scripting via control_selectors Meta FieldCVE-2026-4657 Easy Google Fontseasy-google-fonts 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/10 Advanced Contact form 7 DB <= 2.1.3 - Missing Authorization to Authenticated (Custom+) Unauthorized Data Import via 'import_cf7_id'CVE-2026-18594 Advanced Contact form 7 DBadvanced-cf7-db 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/9/10 WP BackItUp Community Edition <= 2.1.0 - Authenticated (Administrator+) Path Traversal to Arbitrary File Read via 'backup_file' ParameterCVE-2026-18386 WP BackItUp Community Editionwp-backitup 中（Medium） CVSS 4.9 なし 確認できず Defiant・MITRE
2026/9/9 Builderall for WordPress <= 3.0.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Meta Modification via 'ba_cheetah_data[post_id]' ParameterCVE-2026-15823 Builderall for WordPressbuilderall-cheetah-for-wp 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/9/9 Builderall for WordPress <= 3.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Photo Module 'attributes' SettingCVE-2026-15820 Builderall for WordPressbuilderall-cheetah-for-wp 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 Builderall for WordPress <= 3.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'bg_video_service_url' SettingCVE-2026-15796 Builderall for WordPressbuilderall-cheetah-for-wp 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 Post Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) <= 2.9.0 - Missing AuthorizationCVE-2026-81785 BuddyFormsbuddyforms 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/9 Advanced Customized Prompts <= 1.0.1 - Missing AuthorizationCVE-2026-14566 Advanced Customized Promptsadvanced-customized-prompts 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/9/9 WP Fast Total Search – The Power of Indexed Search <= 1.82.284 - Missing AuthorizationCVE-2026-84821 WP Fast Total Searchfulltext-search 中（Medium） CVSS 5.3 あり（1.83.286） 10 件未満 Defiant・MITRE
2026/9/9 Robokassa payment gateway for Woocommerce <= 1.8.9 - Missing AuthorizationCVE-2026-78536 Robokassa payment gateway for Woocommer…robokassa 中（Medium） CVSS 5.3 あり（1.9.0） 確認できず Defiant・MITRE
2026/9/9 IP2Location Country Blocker <= 2.44.0 - IP SoofingCVE-2026-82530 IP2Location Country Blockerip2location-country-blocker 中（Medium） CVSS 5.3 あり（2.45.0） 確認できず Defiant・MITRE
2026/9/9 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-85116 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.5 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/9 ZHBackup – Backup, Restore & Migration <= 2.4.2 - Unauthenticated Information ExposureCVE-2026-81804 ZHBackupzhbackup 中（Medium） CVSS 5.3 あり（2.4.3） 確認できず Defiant・MITRE
2026/9/9 Masteriyo LMS – LMS Course Builder, Quizzes & Certificates 1.3.1 - 2.3.3 - Unauthenticated Information ExposureCVE-2026-82848 Masteriyo LMSlearning-management-system 中（Medium） CVSS 5.3 あり（3.4.0） 確認できず Defiant・MITRE
2026/9/9 MetForm – Contact Form, Survey, Quiz, Conditional Forms, Form Templates & Custom Form Builder for Elementor < 4.1.9 - Unauthenticated Email Header InjectionCVE-2026-86813 MetFormmetform 中（Medium） CVSS 5.3 あり（4.1.9） 65 件 Defiant・MITRE
2026/9/9 Advanced Customized Prompts <= 1.0.1 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-14565 Advanced Customized Promptsadvanced-customized-prompts 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 Groundhogg — CRM, Newsletters, and Marketing Automation <= 4.7.1 - Authenticated (Import_contacts+) Path TraversalCVE-2026-85310 Groundhogggroundhogg 中（Medium） CVSS 6.5 あり（4.7.2） 確認できず Defiant・MITRE
2026/9/9 Content Mask 1.7.1 - 1.8.5.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2025-15690 Content Maskcontent-mask 中（Medium） CVSS 6.4 あり（1.8.5.6） 確認できず Defiant・MITRE
2026/9/9 Translate WordPress with GTranslate < 3.0.10 - Authenticated (Administrator+) Stored Cross-Site ScriptingCVE-2025-15695 Translate WordPress with GTranslategtranslate 中（Medium） CVSS 4.4 あり（3.0.10） 4,089 件 Defiant・MITRE
2026/9/9 المنتور فارسی 2.7.10 - 2.8.1 - Payment Bypass to Unauthenticated Unauthorized Order CompletionCVE-2026-86809 المنتور فارسیpersian-elementor 中（Medium） CVSS 5.3 あり（2.8.2） 確認できず Defiant・MITRE
2026/9/9 Teddy Bear Customize Addon <= 1.0.5 - Unauthenticated Information ExposureCVE-2026-14562 Teddy Bear Customize Addonteddy-bear-customize-addon 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/9 Shirt Product Designer for WooCommerce 1.0.4 - Missing AuthorizationCVE-2026-81794 Shirt Product Designer for WooCommercewoo-shirt-product-designer 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/9 Kirki – Freeform Page Builder, Website Builder & Customizer 6.2.1 - 6.2.5 - Unauthenticated Information ExposureCVE-2026-84222 Kirkikirki 中（Medium） CVSS 5.3 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/9/9 SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent 3.3.6 - 3.5.2 - Unauthenticated Information ExposureCVE-2026-81022 SupportCandysupportcandy 中（Medium） CVSS 5.3 あり（3.5.3） 10 件未満 Defiant・MITRE
2026/9/9 WP Docs <= 2.3.3 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-81782 WP Docswp-docs 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 Sina Extension for Elementor 3.7.1 - 3.10.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83541 Sina Extension for Elementorsina-extension-for-elementor 中（Medium） CVSS 6.4 あり（3.10.4） 10 件未満 Defiant・MITRE
2026/9/9 myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wrapper' Shortcode AttributeCVE-2026-17149 Points Management System For Gamificati…mycred 中（Medium） CVSS 6.4 あり（3.2.5） 32 件 Defiant・MITRE
2026/9/9 WPMR Google Feed Manager for WooCommerce <= 2.23.7 - Authenticated (Administrator+) SQL Injection via 'feed' ParameterCVE-2026-19778 WPMR Google Feed Manager for WooCommercewp-product-feed-manager 中（Medium） CVSS 6.5 あり（2.23.8） 確認できず Defiant・MITRE
2026/9/9 Checkout Custom Fields Builder for WooCommerce <= 1.1.5 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Installation via 'plugin' ParameterCVE-2026-19802 Checkout Custom Fields Builder for WooC…checkout-custom-fields-builder-for-woocommerce 中（Medium） CVSS 4.3 あり（1.1.6） 確認できず Defiant・MITRE
2026/9/9 WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey' Parameters WP Compresswp-compress-image-optimizer 中（Medium） CVSS 5.3 あり（7.22.38） 10 件未満 Defiant
2026/9/9 ilGhera Reviso Exporter for WooCommerce <= 1.2.3 - Missing Authorization to Authenticated (Subscriber+) Agreement Grant Token Deletion via disconnect_callback FunctionCVE-2026-8615 ilGhera Reviso Exporter for WooCommercewc-exporter-for-reviso 中（Medium） CVSS 4.3 あり（1.2.4） 確認できず Defiant・MITRE
2026/9/9 WPFunnels <= 3.12.13 - Missing Authorization to Unauthenticated Arbitrary Product Price Manipulation via 'wpfnl_load_payment' AJAX ActionCVE-2026-84908 WPFunnelswpfunnels 中（Medium） CVSS 5.3 あり（3.13.0） 確認できず Defiant・MITRE
2026/9/9 Awesome Support <= 6.3.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary User Denial via 'user_id' ParameterCVE-2026-19946 Awesome Supportawesome-support 中（Medium） CVSS 4.3 あり（6.4.0） 確認できず Defiant・MITRE
2026/9/9 WP Recipe Maker <= 10.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Recipe Ownership Takeover and Unpublishing via '[wprm-recipe]' ShortcodeCVE-2026-75905 WP Recipe Makerwp-recipe-maker 中（Medium） CVSS 4.3 あり（10.8.1） 45 件 Defiant・MITRE
2026/9/9 Eventin <= 4.1.17 - Missing Authorization to Authenticated (Subscriber+) Notification Flow Management via notification-flow REST API EndpointCVE-2026-11821 Eventinwp-event-solution 中（Medium） CVSS 5.4 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-19945 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 6.4 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Shop Manager+) SQL Injection via 'wpneo_reward' Post MetaCVE-2026-19944 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 4.9 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 User Access Manager <= 2.3.18 - Reflected Cross-Site Scripting via 'tab_group_section' ParameterCVE-2026-19797 User Access Manageruser-access-manager 中（Medium） CVSS 6.1 あり（2.3.19） 747 件 Defiant・MITRE
2026/9/8 Product Filter for WooCommerce by WBW <= 3.4.2 - Reflected Cross-Site Scripting via 'wpf_fid' ParameterCVE-2026-7804 Product Filter for WooCommerce by WBWwoo-product-filter 中（Medium） CVSS 6.1 あり（3.4.3） 10 件未満 Defiant・MITRE
2026/9/8 Podlove Podcast Publisher <= 4.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'episode_contributor[..][..][comment]' ParameterCVE-2026-75966 Podlove Podcast Publisherpodlove-podcasting-plugin-for-wordpress 中（Medium） CVSS 6.4 あり（4.5.6） 確認できず Defiant・MITRE
2026/9/8 Mail Mint <= 1.31.0 - Authenticated (Custom+) SQL Injection via 'status' ParameterCVE-2026-19800 Mail Mintmail-mint 中（Medium） CVSS 4.9 あり（1.31.1） 確認できず Defiant・MITRE
2026/9/8 Ninja Forms <= 3.14.6 - Authenticated (Administrator+) PHP Object Injection via Form ImportCVE-2026-11363 Ninja Formsninja-forms 中（Medium） CVSS 6.6 あり（3.14.7） 1,272 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'fallback' Shortcode AttributeCVE-2026-77186 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 My Calendar <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'before' and 'after' Shortcode AttributesCVE-2026-77187 My Calendarmy-calendar 中（Medium） CVSS 6.4 あり（3.8.4） 667 件 Defiant・MITRE
2026/9/8 WP Travel – Ultimate Travel Booking System, Tour Management Engine <= 12.0.3 - Missing AuthorizationCVE-2026-81796 WP Travelwp-travel 中（Medium） CVSS 5.3 あり（12.0.4） 10 件未満 Defiant・MITRE
2026/9/8 Salon Booking System – Appointment Booking for Salons, Barbershops & Spas <= 10.31.5 - Missing AuthorizationCVE-2026-81793 Salon Booking Systemsalon-booking-system 中（Medium） CVSS 5.3 なし 12 件 Defiant・MITRE
2026/9/8 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-66632 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.1 あり（1.42.3） 98 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use