WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（3／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/16 Klarna for WooCommerce <= 4.13.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'order-pay' EndpointCVE-2026-110590 Klarna for WooCommerceklarna-payments-for-woocommerce 高（High） CVSS 7.5 あり（4.13.4） 確認できず Defiant・MITRE
2026/10/16 Image Hub <= 1.2.0 - Authenticated (Subscriber+) Sensitive Information Exposure in Admin Page HTMLCVE-2026-109191 Image Hubimage-hub 中（Medium） CVSS 4.3 あり（1.3.0） 確認できず Defiant・MITRE
2026/10/16 Groundhogg <= 4.9.3 - Authenticated (Sales Representative+) Arbitrary File Deletion via CSV Import 'copy_file' Field MappingCVE-2026-109221 Groundhogggroundhogg 高（High） CVSS 8.1 あり（4.9.4） 確認できず Defiant・MITRE
2026/10/16 Gwolle Guestbook <= 5.1.1 - Reflected Cross-Site Scripting via 'permalink' ParameterCVE-2026-103481 Gwolle Guestbookgwolle-gb 中（Medium） CVSS 6.1 あり（5.1.2） 10 件未満 Defiant・MITRE
2026/10/16 FunnelKit <= 3.16.0.6 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'order_id' / 'order' POST ParameterCVE-2026-107746 FunnelKitfunnel-builder 高（High） CVSS 7.5 あり（3.17.0） 10 件未満 Defiant・MITRE
2026/10/16 FluentCart A New Era of eCommerce <= 1.7.0 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'order_id' and 'billing_address_id' ParametersCVE-2026-103525 FluentCart A New Era of eCommercefluent-cart 高（High） CVSS 7.5 あり（1.7.1） 10 件未満 Defiant・MITRE
2026/10/16 Flying Scripts: Delay JavaScript to Improve Site Speed & Performance <= 1.2.4 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-109990 Flying Scriptsflying-scripts 高（High） CVSS 7.2 あり（1.2.5） 確認できず Defiant・MITRE
2026/10/16 FluentCart A New Era of eCommerce <= 1.7.0 - Authenticated (Administrator+) SQL Injection via 'products.variants' Array KeysCVE-2026-103518 FluentCart A New Era of eCommercefluent-cart 中（Medium） CVSS 4.9 あり（1.7.1） 10 件未満 Defiant・MITRE
2026/10/16 RSS Aggregator by Feedzy <= 5.2.11 - Unauthenticated Stored Cross-Site Scripting via RSS media:thumbnail URLCVE-2026-109207 RSS Aggregator by Feedzyfeedzy-rss-feeds 高（High） CVSS 7.2 あり（5.2.12） 451 件 Defiant・MITRE
2026/10/16 Customer Email Verification for WooCommerce <= 3.3.0 - Unauthenticated Privilege Escalation to 'alg_wc_ev_verify_email' ParameterCVE-2026-104745 Customer Email Verification for WooComm…emails-verification-for-woocommerce 高（High） CVSS 8.1 あり（3.3.1） 確認できず Defiant・MITRE
2026/10/16 Dokan: AI Powered WooCommerce Multivendor Marketplace Solution <= 5.2.1 - Insecure Direct Object Reference to Authenticated (Custom+) Limited Account Takeover via 'password' Parameter to /wp-json/dokan/v1/customers/{id}CVE-2026-89280 Dokandokan-lite 中（Medium） CVSS 4.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Debloat <= 1.3.0 - Unauthenticated Arbitrary File Read via 's' Search Parameter via @import url() in Reflected Search-Feed <link>CVE-2026-104769 Debloatdebloat 中（Medium） CVSS 5.9 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Complianz GDPR/CCPA Cookie Consent Banner <= 7.5.5 - Unauthenticated Stored Cross-Site Scripting via Comment Content via yotu-wp Cookie-Blocker FilterCVE-2026-97339 Complianz GDPR/CCPA Cookie Consent Bann…complianz-gdpr 高（High） CVSS 7.2 あり（7.5.6） 985 件 Defiant・MITRE
2026/10/16 Colibri Page Builder <= 1.0.390 - Unauthenticated Stored Cross-Site Scripting via CommentsCVE-2026-107758 Colibri Page Buildercolibri-page-builder 高（High） CVSS 7.2 あり（1.0.392） 61 件 Defiant・MITRE
2026/10/16 Backuply <= 1.5.8 - Authenticated (Subscriber+) Second-Order SQL Injection via Restore to Privilege EscalationCVE-2026-93953 Backuplybackuply 高（High） CVSS 8.0 あり（1.5.9） 確認できず Defiant・MITRE
2026/10/15 WP Dark Mode – Improve Accessibility with AI Powered Dark Theme <= 5.3.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon_light' Shortcode AttributeCVE-2026-93535 Dark Modewp-dark-mode 中（Medium） CVSS 6.4 あり（5.3.18） 69 件 Defiant・MITRE
2026/10/15 Popup Box 6.4.1 - 6.4.2 - Unauthenticated Arbitrary Shortcode Execution via Client-IP / X-Forwarded-For HTTP HeadersCVE-2026-100159 Popup Boxays-popup-box 中（Medium） CVSS 4.8 あり（6.4.3） 63 件 Defiant・MITRE
2026/10/15 Cooked <= 1.16.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via [cooked-timer] Shortcode ContentCVE-2026-77829 Cookedcooked 中（Medium） CVSS 6.4 あり（1.16.2） 13 件 Defiant・MITRE
2026/10/15 Social Media Auto Post & Scheduler <= 9.1.4 - Authenticated (Contributor+) Insecure Direct Object Reference to Sensitive Information ExposureCVE-2026-108092 Blog2Socialblog2social 中（Medium） CVSS 4.3 あり（9.1.5） 確認できず Defiant・MITRE
2026/10/15 Elementor Website Builder <= 4.2.3 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Exposure via 'is_public' and 'keys_conversion_map' ParametersCVE-2026-11905 Elementor Website Builderelementor 中（Medium） CVSS 4.3 あり（4.2.4） 15,288 件 Defiant・MITRE
2026/10/15 Mang Board WP <= 2.4.0 - Unauthenticated Stored Cross-Site Scripting via 'data_type' ParameterCVE-2026-88043 Mang Boardmangboard 高（High） CVSS 7.2 あり（2.4.1） 10 件未満 Defiant・MITRE
2026/10/15 Ocean Extra <= 2.6.0 - Unauthenticated Arbitrary Shortcode Execution via 'oceanwp_library' Shortcode TemplateCVE-2026-86803 Ocean Extraocean-extra 中（Medium） CVSS 6.5 あり（2.6.1） 298 件 Defiant・MITRE
2026/10/15 VK Blocks <= 1.126.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Group Block 'linkToPost' FeatureCVE-2026-78087 VK Blocksvk-blocks 中（Medium） CVSS 6.4 あり（1.126.2） 11,007 件 Defiant・MITRE
2026/10/15 Post and Page Builder by BoldGrid <= 1.27.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'data-label' AttributeCVE-2026-78001 Post and Page Builder by BoldGridpost-and-page-builder 中（Medium） CVSS 6.4 あり（1.27.14） 10 件未満 Defiant・MITRE
2026/10/15 Premium Packages <= 7.0.5 - Unauthenticated Stored Cross-Site Scripting via 'order_email'CVE-2026-18586 Premium Packageswpdm-premium-packages 高（High） CVSS 7.2 あり（7.0.6） 56 件 Defiant・MITRE
2026/10/15 Groundhogg <= 4.5.14 - Unauthenticated Stored Cross-Site Scripting via 'ref' ParameterCVE-2026-18548 Groundhogggroundhogg 高（High） CVSS 7.2 あり（4.5.15） 確認できず Defiant・MITRE
2026/10/15 Photo Gallery by 10Web <= 1.8.42 - Reflected Cross-Site Scripting via 'title' ParameterCVE-2026-18557 Photo Gallery by 10Webphoto-gallery 中（Medium） CVSS 6.1 あり（1.8.43） 615 件 Defiant・MITRE
2026/10/15 Import and export users and customers <= 2.4.5 - Authenticated (Custom+) Stored Cross-Site Scripting via User Meta Profile FieldsCVE-2026-17001 Import and export users and customersimport-users-from-csv-with-meta 中（Medium） CVSS 6.4 あり（2.4.6） 確認できず Defiant・MITRE
2026/10/15 Checkout Field Manager (Checkout Manager) for WooCommerce <= 7.9.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Media Deletion via Checkout File Field Attachment IDCVE-2026-17031 Checkout Field Managerwoocommerce-checkout-manager 高（High） CVSS 8.1 あり（7.9.7） 確認できず Defiant・MITRE
2026/10/15 Tracking Code Manager <= 2.6.0 - Reflected Cross-Site Scripting via 'TCM_ErrorMessages'CVE-2026-15180 Tracking Code Managertracking-code-manager 中（Medium） CVSS 6.1 あり（2.7.0） 確認できず Defiant・MITRE
2026/10/15 Link Library <= 7.9.2 - Unauthenticated SQL Injection via 'link_url' ParameterCVE-2026-15090 Link Librarylink-library 高（High） CVSS 7.5 あり（7.9.3） 222 件 Defiant・MITRE
2026/10/15 Kirki <= 6.2.0 - Authenticated (Custom+) Stored Cross-Site Scripting via Page Builder Text ContentCVE-2026-14572 Kirkikirki 中（Medium） CVSS 6.4 あり（6.2.1） 10 件未満 Defiant・MITRE
2026/10/15 PhastPress <= 3.10 - Unauthenticated Server-Side Request Forgery via 'src' ParameterCVE-2026-3712 PhastPressphastpress 高（High） CVSS 7.3 あり（3.11） 10 件未満 Defiant・MITRE
2026/10/15 10Web Booster <= 2.34.10 - Unauthenticated Arbitrary File Upload via 'page_id' ParameterCVE-2026-108587 10Web Boostertenweb-speed-optimizer 緊急（Critical） CVSS 9.8 あり（2.34.11） 15 件 Defiant・MITRE
2026/10/14 FV Flowplayer Video Player <= 7.5.54.7212 - Authenticated (Subscriber+) Arbitrary File Upload via 'video_url' ParameterCVE-2026-86461 FV Flowplayer Video Playerfv-wordpress-flowplayer 高（High） CVSS 8.8 あり（7.5.55.7212） 確認できず Defiant・MITRE
2026/10/14 Walletdoc Payment Gateway for WooCommerce < 1.8.5 - Unauthenticated SQL InjectionCVE-2026-103307 Walletdoc Payment Gateway for WooCommer…wc-walletdoc-payment-gateway 高（High） CVSS 7.5 あり（1.8.5） 確認できず Defiant・MITRE
2026/10/14 NEX-Forms – Ultimate Forms Plugin for WordPress 9.2.1 - 9.3.0 - Unauthenticated Insecure Direct Object ReferenceCVE-2026-106166 NEX-Formsnex-forms-express-wp-form-builder 中（Medium） CVSS 5.3 あり（9.3.1） 確認できず Defiant・MITRE
2026/10/14 rtMedia for WordPress, BuddyPress and bbPress < 4.7.14 - Authenticated (Subscriber+) Insecure Direct Object ReferenceCVE-2026-88927 rtMedia for WordPress, BuddyPress and b…buddypress-media 中（Medium） CVSS 4.3 あり（4.7.14） 10 件未満 Defiant・MITRE
2026/10/14 Pricing Table – Block – Show Product or Service Pricing in Table Format 1.0.7 - 2.1.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-86797 Pricing Tableb-pricing-table 中（Medium） CVSS 6.4 あり（2.1.5） 10 件未満 Defiant・MITRE
2026/10/14 Forms < 3.0.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-86799 Formsforms-by-made-it 高（High） CVSS 7.2 あり（3.0.2） 確認できず Defiant・MITRE
2026/10/14 WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps < 5.5.84 - Unauthenticated Information ExposureCVE-2026-106099 WP Data Accesswp-data-access 中（Medium） CVSS 5.3 あり（5.5.84） 63 件 Defiant・MITRE
2026/10/14 Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories 4.10.1 - 4.10.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-105261 Schedule Post Changes With PublishPress…post-expirator 中（Medium） CVSS 6.4 あり（4.10.6） 6,815 件 Defiant・MITRE
2026/10/14 WP Encryption – One Click SSL / HTTPS & Free SSL Certificate, HTTPS Redirect, Security < 7.8.8.2 - Missing AuthorizationCVE-2026-108064 WP Encryptionwp-letsencrypt-ssl 中（Medium） CVSS 5.3 あり（7.8.8.2） 10 件未満 Defiant・MITRE
2026/10/14 Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform < 2.17.2 - Unauthenticated Local File InclusionCVE-2026-107508 Ultimate Multisiteultimate-multisite 高（High） CVSS 8.1 あり（2.17.2） 確認できず Defiant・MITRE
2026/10/14 WP 2FA – Two-factor authentication for WordPress < 4.2.0 - Authenticated (Administrator+) Insecure Direct Object ReferenceCVE-2026-108066 WP 2FAwp-2fa 低（Low） CVSS 2.7 あり（4.2.0） 785 件 Defiant・MITRE
2026/10/14 Trust Payments Gateway for WooCommerce < 3.1.0 - Missing AuthorizationCVE-2026-87843 Trust Payments Gateway for WooCommercetrust-payments-hosted-payment-pages-integration 中（Medium） CVSS 5.3 あり（3.1.0） 確認できず Defiant・MITRE
2026/10/14 Gutenverse Form – Contact Form Builder, Block Form & Booking Form < 3.0.11 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-106469 Gutenverse Formgutenverse-form 中（Medium） CVSS 6.4 あり（3.0.11） 10 件未満 Defiant・MITRE
2026/10/14 Fast Courier – Shipping & Freight 5.0.0 - 5.2.3 - Unauthenticated SQL InjectionCVE-2026-89288 Fast Courierfast-courier-shipping-freight 高（High） CVSS 7.5 あり（5.2.4） 確認できず Defiant・MITRE
2026/10/14 WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps < 5.5.77 - Missing AuthorizationCVE-2026-106098 WP Data Accesswp-data-access 中（Medium） CVSS 5.3 あり（5.5.77） 63 件 Defiant・MITRE
2026/10/14 Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant < 5.3.2 - Missing AuthorizationCVE-2026-87968 Product Feed for Google Shopping, Micro…shopping-feed-for-google 中（Medium） CVSS 5.3 あり（5.3.2） 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use