WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「高」：1,225 件（3／25ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/12 Easy Property Listings <= 3.5.25 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-61989 Easy Property Listingseasy-property-listings 高（High） CVSS 7.2 あり（3.5.26） 10 件未満 Defiant・MITRE
2026/10/12 Paid Videochat Turnkey Site – HTML5 PPV Live Webcams <= 7.5.12 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-107428 Paid Videochat Turnkey Siteppv-live-webcams 高（High） CVSS 7.2 あり（7.5.13） 確認できず Defiant・MITRE
2026/10/10 HivePress <= 1.7.31 - Unauthenticated Stored Cross-Site Scripting via Custom User Attribute Value via Registration FormCVE-2026-107657 HivePresshivepress 高（High） CVSS 7.2 あり（1.7.32） 18 件 Defiant・MITRE
2026/10/10 Divi Plus <= 2.4.0 - Unauthenticated Arbitrary File Read via 'svg_image' ParameterCVE-2026-91136 Divi Plusdivi-plus 高（High） CVSS 7.5 あり（2.4.1） 14 件 Defiant・MITRE
2026/10/10 Molongui Authorship <= 5.2.12 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment href AttributeCVE-2026-101920 Molongui Authorshipmolongui-authorship 高（High） CVSS 7.2 あり（5.3.0） 29 件 Defiant・MITRE
2026/10/10 FunnelKit <= 3.16.0.5 - Unauthenticated Stored Cross-Site Scripting via Order Fields (shipping/billing)CVE-2026-100147 FunnelKitfunnel-builder 高（High） CVSS 7.2 あり（3.16.0.6） 10 件未満 Defiant・MITRE
2026/10/10 WPAdverts <= 2.3.4 - Unauthenticated Stored Cross-Site Scripting via 'adverts_location' ParameterCVE-2026-100178 WPAdvertswpadverts 高（High） CVSS 7.2 あり（2.3.5） 確認できず Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.2 - Unauthenticated SQL Injection via 'booking[service_id]' ParameterCVE-2026-96662 Appointment Booking Pluginlatepoint 高（High） CVSS 7.5 あり（5.7.3） 20 件 Defiant・MITRE
2026/10/10 WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) <= 44.1 - Unauthenticated Stored Cross-Site Scripting via 'id_token' Parameter (iss / unique_name JWT claims)CVE-2026-96765 WPO365wpo365-login 高（High） CVSS 7.2 あり（45.0） 10 件 Defiant・MITRE
2026/10/10 WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels <= 5.0.2 - Insecure Direct Object Reference to Unauthenticated Unauthorized Order Document Access via 'email' ParameterCVE-2026-93746 WebToffee WooCommerce PDF Invoices, Pac…print-invoices-packing-slip-labels-for-woocommerce 高（High） CVSS 7.5 あり（5.0.3） 10 件未満 Defiant・MITRE
2026/10/10 WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) <= 44.1 - Unauthenticated Authentication Bypass via OIDC Nonce Replay via id_token Nonce VerificationCVE-2026-104759 WPO365wpo365-login 高（High） CVSS 8.1 あり（45.0） 10 件 Defiant・MITRE
2026/10/10 WP Photo Album Plus <= 9.3.03.002 - Unauthenticated Stored Cross-Site Scripting via REQUEST_URI Session HistoryCVE-2026-96278 WP Photo Album Pluswp-photo-album-plus 高（High） CVSS 7.2 あり（9.3.03.003） 18 件 Defiant・MITRE
2026/10/10 WP Meteor Website Speed Optimization Addon <= 3.4.18 - Unauthenticated Stored Cross-Site Scripting via Comment Author NameCVE-2026-96572 WP Meteor Website Speed Optimization Ad…wp-meteor 高（High） CVSS 7.2 あり（3.4.19） 確認できず Defiant・MITRE
2026/10/10 Online Scheduling and Appointment Booking System <= 28.2 - Authenticated (Custom+) PHP Object Injection via 'value' ParameterCVE-2026-12626 Online Scheduling and Appointment Booki…bookly-responsive-appointment-booking-tool 高（High） CVSS 7.2 あり（28.3） 30 件 Defiant・MITRE
2026/10/10 WP File Download <= 6.3.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Deletion/Modification via 'task' Parameter to Multiple FunctionsCVE-2026-94538 WP File Downloadwp-file-download 高（High） CVSS 8.1 あり（6.3.10） 10 件未満 Defiant・MITRE
2026/10/10 Photo Reviews for WooCommerce <= 1.2.30 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'wcpr_image_upload_id' ParameterCVE-2026-100161 Photo Reviews for WooCommercewoo-photo-reviews 高（High） CVSS 7.2 あり（1.2.31） 確認できず Defiant・MITRE
2026/10/10 VikBooking Hotel Booking Engine & PMS <= 1.8.15 - Unauthenticated Stored Cross-Site Scripting via 'attachments[name]' ParameterCVE-2026-95684 VikBooking Hotel Booking Engine & PMSvikbooking 高（High） CVSS 7.2 あり（1.8.16） 確認できず Defiant・MITRE
2026/10/10 10Web Booster <= 2.34.8 - Unauthenticated Stored Cross-Site Scripting via Comment Author NameCVE-2026-107742 10Web Boostertenweb-speed-optimizer 高（High） CVSS 7.2 あり（2.34.10） 15 件 Defiant・MITRE
2026/10/10 Post Grid Gutenberg Blocks <= 5.1.0 - Unauthenticated Stored Cross-Site Scripting via display_name User FieldCVE-2026-96840 Post Grid Gutenberg Blocksultimate-post 高（High） CVSS 7.2 あり（5.1.1） 59 件 Defiant・MITRE
2026/10/10 LazyLoad Plugin <= 2.4.0 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-100196 LazyLoad Pluginrocket-lazy-load 高（High） CVSS 7.2 あり（2.4.1） 991 件 Defiant・MITRE
2026/10/10 Quiz and Survey Master (QSM) <= 11.2.6 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'qsm_hidden_questions' ParameterCVE-2026-96558 Quiz and Survey Masterquiz-master-next 高（High） CVSS 7.2 あり（11.2.7） 214 件 Defiant・MITRE
2026/10/10 Presto Player <= 4.5.1 - Unauthenticated Stored Cross-Site Scripting via Comment Content via <presto-player> TagCVE-2026-96682 Presto Playerpresto-player 高（High） CVSS 7.2 あり（4.5.2） 26 件 Defiant・MITRE
2026/10/10 Podlove Podcast Publisher <= 4.5.6 - Unauthenticated Stored Cross-Site Scripting via Auphonic WebhookCVE-2026-93775 Podlove Podcast Publisherpodlove-podcasting-plugin-for-wordpress 高（High） CVSS 7.2 あり（4.5.7） 確認できず Defiant・MITRE
2026/10/10 Music Store <= 1.4.7 - Unauthenticated Arbitrary File Read via 'f' Parameter Music Storemusic-store 高（High） CVSS 7.5 あり（1.4.8） 確認できず Defiant
2026/10/10 LifterLMS <= 10.2.1 - Authenticated (Custom+) PHP Object Injection via 'custom' Lesson DataCVE-2026-104723 LifterLMSlifterlms 高（High） CVSS 8.8 あり（10.3.0） 10 件未満 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.3 - Authenticated (Custom+) Privilege Escalation to 'settings[default_wp_role_for_customer]' ParameterCVE-2026-104766 Appointment Booking Pluginlatepoint 高（High） CVSS 8.8 あり（5.7.4） 20 件 Defiant・MITRE
2026/10/10 Groundhogg <= 4.8.3 - Unauthenticated Privilege Escalation to Support User Identity ConfusionCVE-2026-92975 Groundhogggroundhogg 高（High） CVSS 8.1 あり（4.9） 確認できず Defiant・MITRE
2026/10/10 Groundhogg <= 4.9 - Authenticated (Custom+) Privilege Escalation to 'user' ParameterCVE-2026-104725 Groundhogggroundhogg 高（High） CVSS 8.8 あり（4.9.1） 確認できず Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.187 - Unauthenticated Local File Inclusion via 'design_type' ParameterCVE-2026-104899 GeoDirectorygeodirectory 高（High） CVSS 8.1 あり（2.8.188） 12 件 Defiant・MITRE
2026/10/10 FV Player 8 <= 8.1.7 - Authenticated (Subscriber+) Arbitrary File Upload via videos[].fv_wp_flowplayer_field_src ParameterCVE-2026-83526 FV Player 8fv-player 高（High） CVSS 8.8 あり（8.1.8） 10 件未満 Defiant・MITRE
2026/10/10 FooSales <= 1.43.0 - Authenticated (Custom+) Privilege Escalation via create_update_customer REST EndpointCVE-2026-77183 FooSalesfoosales 高（High） CVSS 8.8 あり（1.43.1） 確認できず Defiant・MITRE
2026/10/10 Real Estate Manager <= 7.3 - Unauthenticated Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-96667 Real Estate Managerreal-estate-manager 高（High） CVSS 7.2 あり（7.4） 確認できず Defiant・MITRE
2026/10/10 Easy Digital Downloads <= 3.6.9 - Unauthenticated Stored Cross-Site Scripting via PayPal IPN ParametersCVE-2026-14335 Easy Digital Downloadseasy-digital-downloads 高（High） CVSS 7.2 あり（3.6.9.1） 61 件 Defiant・MITRE
2026/10/10 Fastcache by Host.it <= 1.7.4 - Authenticated (Administrator+) Code Injection via .htaccess Directive Injection via 'cache_cookie_exclude' SettingCVE-2026-104021 Fastcache by Host.itfastcache-by-host-it 高（High） CVSS 7.2 あり（1.7.5） 確認できず Defiant・MITRE
2026/10/10 rtMedia for WordPress, BuddyPress and bbPress <= 4.7.13 - Missing Authorization to Unauthenticated Limited File Read/Disclosure and Limited File Deletion via Sideload via 'files[tmp_name]' ParameterCVE-2026-89301 rtMedia for WordPress, BuddyPress and b…buddypress-media 高（High） CVSS 7.5 あり（4.7.14） 10 件未満 Defiant・MITRE
2026/10/10 Advanced Form Integration <= 2.9.0 - Unauthenticated Unverified Password Change to Authentication Bypass / Privilege Escalation via Contact Form 7 Submission to Ultimate Member Update Profile Field ActionCVE-2026-104797 Advanced Form Integrationadvanced-form-integration 高（High） CVSS 8.1 あり（2.10.0） 確認できず Defiant・MITRE
2026/10/9 CodeBard Help Desk <= 1.1.2 - Authenticated (Subscriber+) Arbitrary File UploadCVE-2026-62024 CodeBard Help Deskcodebard-help-desk 高（High） CVSS 8.8 なし 確認できず Defiant・MITRE
2026/10/9 Directory Listings WordPress plugin – uListing <= 2.2.0 - Unauthenticated SQL InjectionCVE-2026-62031 Directory Listings WordPress pluginulisting 高（High） CVSS 7.5 なし 10 件未満 Defiant・MITRE
2026/10/9 Team Section Block – Showcase Team Members with Layout Options <= 2.0.4 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-62027 Team Section Blockteam-section 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 StreamCast – bring live radio to your site with a sleek player <= 2.4.5 - Unauthenticated Server-Side Request ForgeryCVE-2026-62030 StreamCaststreamcast 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Document Embedder – let visitors read files without downloading <= 2.4.0 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-62037 Document Embedderdocument-emberdder 高（High） CVSS 7.2 なし 21 件 Defiant・MITRE
2026/10/9 DirectoryPress – Business Directory And Classified Ad Listing <= 3.6.27 - Unauthenticated Local File InclusionCVE-2026-62032 DirectoryPressdirectorypress 高（High） CVSS 8.1 なし 確認できず Defiant・MITRE
2026/10/9 Before After Image Comparison – Visual Comparison for Two Images <= 1.1.21 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-62034 Before After Image Comparisonbefore-after-image-compare 高（High） CVSS 7.2 なし 10 件未満 Defiant・MITRE
2026/10/9 Social Web Suite <= 4.1.12 - Unauthenticated SQL InjectionCVE-2026-88930 Social Web Suitesocial-web-suite 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/10/9 KeyWord Collector <= 1.4 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-88905 KeyWord Collectorkeyword-collector 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 HootBoard <= 3.1.4 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-86798 HootBoardhootboard 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to Ninja Forms <= 1.0.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-84258 click5 CRM add-on to Ninja Formsclick5-crm-add-on-to-ninja-forms 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 Adwised Web Push Notification <= 2.5.7 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-87762 Adwised Web Push Notificationadwised 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/10/9 AI Content Generator Marketing <= 1.0.0 - Unauthenticated Privilege EscalationCVE-2026-85118 AI Content Generator Marketingai-content-generator-marketing 高（High） CVSS 7.3 なし 確認できず Defiant・MITRE
2026/10/9 WP-Partner <= 1.2.1 - Unauthenticated SQL InjectionCVE-2026-89234 WP-Partnerwp-partner 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use