WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度・国内で使われているもの：2,419 件（3／49ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/14 GamiPress – Gamification plugin to reward points, badges & ranks in WordPress, now with AI < 8.0.6 - Missing AuthorizationCVE-2026-107319 GamiPressgamipress 中（Medium） CVSS 4.3 あり（8.0.6） 10 件 Defiant・MITRE
2026/10/14 GamiPress – Gamification plugin to reward points, badges & ranks in WordPress, now with AI 7.9.5 - 8.0.5 - Missing AuthorizationCVE-2026-107320 GamiPressgamipress 中（Medium） CVSS 5.3 あり（8.0.6） 10 件 Defiant・MITRE
2026/10/14 WP Booking System – Booking Calendar < 2.1.0.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-107126 WP Booking Systemwp-booking-system 高（High） CVSS 7.2 あり（2.1.0.1） 13 件 Defiant・MITRE
2026/10/14 Tainacan < 1.4.0 - Authenticated (Subscriber+) Information ExposureCVE-2026-90989 Tainacantainacan 中（Medium） CVSS 4.3 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/14 Classified Listing – AI-Powered Classified ads & Business Directory < 6.1.1 - Missing AuthorizationCVE-2026-106646 Classified Listingclassified-listing 中（Medium） CVSS 4.3 あり（6.1.1） 10 件未満 Defiant・MITRE
2026/10/14 Image Photo Gallery Final Tiles Grid < 3.6.16 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-107178 Image Photo Gallery Final Tiles Gridfinal-tiles-grid-gallery-lite 中（Medium） CVSS 6.4 あり（3.6.16） 46 件 Defiant・MITRE
2026/10/14 Meow Lightbox <= 5.6.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Output Buffering parser noise substitution via comment body + display_nameCVE-2026-107756 Meow Lightboxmeow-lightbox 中（Medium） CVSS 6.4 あり（5.6.3） 59 件 Defiant・MITRE
2026/10/14 Mang Board <= 2.4.3 - Unauthenticated Local File Inclusion via '<mode>_type' ParameterCVE-2026-104909 Mang Boardmangboard 高（High） CVSS 8.1 あり（2.4.4） 10 件未満 Defiant・MITRE
2026/10/14 Mang Board <= 2.4.3 - Unauthenticated Stored Cross-Site Scripting via 'user_name' ParameterCVE-2026-107751 Mang Boardmangboard 高（High） CVSS 7.2 あり（2.4.4） 10 件未満 Defiant・MITRE
2026/10/14 Mang Board <= 2.4.3 - Authenticated (Custom+) Stored Cross-Site Scripting via 'content' ParameterCVE-2026-104761 Mang Boardmangboard 中（Medium） CVSS 6.4 あり（2.4.4） 10 件未満 Defiant・MITRE
2026/10/14 LifterLMS <= 10.3.1 - Authenticated (Contributor+) Local File Inclusion via 'lifterlms_checkout' Shortcode AttributesCVE-2026-110284 LifterLMSlifterlms 高（High） CVSS 7.5 あり（10.3.2） 10 件未満 Defiant・MITRE
2026/10/14 Jeg Kit for Elementor <= 3.2.19 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via 'jeg_find_author' AJAX ActionCVE-2026-103907 Jeg Kit for Elementorjeg-elementor-kit 中（Medium） CVSS 6.5 あり（3.2.20） 68 件 Defiant・MITRE
2026/10/14 Appointment Booking Plugin <= 5.7.2 - Unauthenticated Authentication Bypass to Customer Account Takeover via Insufficient Verification in create_wp_user_for_customer() username_exists FallbackCVE-2026-100163 Appointment Booking Pluginlatepoint 高（High） CVSS 7.4 あり（5.7.3） 20 件 Defiant・MITRE
2026/10/14 Appointment Booking Plugin <= 5.7.3 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'booking[id]' and 'cart[id]' ParametersCVE-2026-103366 Appointment Booking Pluginlatepoint 高（High） CVSS 7.5 あり（5.7.4） 20 件 Defiant・MITRE
2026/10/14 Appointment Booking Plugin <= 5.7.3 - Authenticated (Subscriber+) Sensitive Information Exposure in 'first_name' Parameter Template Re-expansionCVE-2026-103380 Appointment Booking Pluginlatepoint 中（Medium） CVSS 4.3 あり（5.7.4） 20 件 Defiant・MITRE
2026/10/14 GeoDirectory <= 2.8.190 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Dynamic Content Field-Token Substitution via Listing TitleCVE-2026-107650 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.191） 12 件 Defiant・MITRE
2026/10/14 GeoDirectory <= 2.8.190 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Image TitleCVE-2026-107754 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.191） 12 件 Defiant・MITRE
2026/10/14 NewStatPress <= 1.4.5 - Unauthenticated Stored Cross-Site Scripting via 'urlrequested' Attribute via Query StringCVE-2026-101924 NewStatPressnewstatpress 高（High） CVSS 7.2 なし 18 件 Defiant・MITRE
2026/10/14 Hyyan WooCommerce Polylang Integration <= 1.5.0 - Authenticated (Subscriber+) SQL Injection via 'variation_ids' ParameterCVE-2026-101926 Hyyan WooCommerce Polylang Integrationwoo-poly-integration 中（Medium） CVSS 6.5 なし 10 件未満 Defiant・MITRE
2026/10/14 NewStatPress <= 1.4.5 - Unauthenticated Stored Cross-Site Scripting via URL Request Tracking (urlrequested field)CVE-2026-100153 NewStatPressnewstatpress 高（High） CVSS 7.2 なし 18 件 Defiant・MITRE
2026/10/14 Gmedia Photo Gallery <= 1.25.1 - Unauthenticated SQL Injection via 'gmedia__in' ParameterCVE-2026-96661 Gmedia Photo Gallerygrand-media 高（High） CVSS 7.5 なし 10 件未満 Defiant・MITRE
2026/10/14 Document Gallery <= 5.1.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-77114 Document Gallerydocument-gallery 高（High） CVSS 7.2 なし 11 件 Defiant・MITRE
2026/10/14 Countdown Timer – Widget Countdown <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'redirect_url' Shortcode AttributeCVE-2026-16495 Countdown Timerwidget-countdown 中（Medium） CVSS 6.4 なし 10 件未満 Defiant・MITRE
2026/10/14 BuddyPress XProfile Image Field <= 3.1.0 - Unauthenticated Arbitrary File Deletion via Signup Image Field Activation Handler BuddyPress XProfile Custom Image Fieldbuddypress-xprofile-image-field 緊急（Critical） CVSS 9.1 なし 10 件未満 Defiant
2026/10/14 Tutor LMS <= 4.1.0 - Reflected Cross-Site Scripting via 'tab' ParameterCVE-2026-100193 Tutor LMStutor 中（Medium） CVSS 4.7 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/14 FV Player 8 <= 8.1.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'synopsis' Shortcode AttributeCVE-2026-95807 FV Player 8fv-player 中（Medium） CVSS 6.4 あり（8.1.8） 10 件未満 Defiant・MITRE
2026/10/14 Avada (Fusion) Builder <= 3.16.1 - Unauthenticated Sensitive Information Exposure in 'args[link_target]' Parameter via {user_meta} Dynamic Data TokenCVE-2026-97471 Avadafusion-builder 中（Medium） CVSS 5.3 あり（3.16.2） 227 件 Defiant・MITRE
2026/10/14 Form Maker by 10Web <= 1.15.48 - Unauthenticated SQL Injection via 'inputs' ParameterCVE-2026-95808 Form Maker by 10Webform-maker 高（High） CVSS 7.5 あり（1.15.49） 11 件 Defiant・MITRE
2026/10/14 Directorist: AI-Powered Business Directory, Listings & Classified Ads <= 8.10.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'phone' Listing FieldCVE-2026-100185 Directoristdirectorist 中（Medium） CVSS 6.4 あり（8.10.3） 10 件未満 Defiant・MITRE
2026/10/13 Abandoned Cart Pro for WooCommerce <= 10.8.0 - Unauthenticated SQL Injection via Guest Persistent Cart meta_valueCVE-2026-97668 Abandoned Cart Pro for WooCommercewoocommerce-abandon-cart-pro 緊急（Critical） CVSS 9.8 あり（10.8.1） 10 件未満 Defiant・MITRE
2026/10/13 Abandoned Cart Pro for WooCommerce <= 10.8.0 - Unauthenticated SQL Injection via AES-CTR Ciphertext Forgery in 'validate' ParameterCVE-2026-102251 Abandoned Cart Pro for WooCommercewoocommerce-abandon-cart-pro 高（High） CVSS 7.5 あり（10.8.1） 10 件未満 Defiant・MITRE
2026/10/13 Abandoned Cart Pro for WooCommerce <= 10.8.0 - Unauthenticated Authentication Bypass via Malleable Encryption and Bypassable HMAC via Recovery Link 'validate' ParameterCVE-2026-97657 Abandoned Cart Pro for WooCommercewoocommerce-abandon-cart-pro 緊急（Critical） CVSS 9.8 あり（10.8.1） 10 件未満 Defiant・MITRE
2026/10/13 Directorist: AI-Powered Business Directory, Listings & Classified Ads <= 8.10.2.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Listing Deletion via 'listing_id' ParameterCVE-2026-17092 Directoristdirectorist 高（High） CVSS 8.1 あり（8.10.3） 10 件未満 Defiant・MITRE
2026/10/13 Click to Chat <= 4.44 - Unauthenticated Arbitrary Shortcode Execution via REQUEST_URI via {url} PlaceholderCVE-2026-92097 Click to Chatclick-to-chat-for-whatsapp 緊急（Critical） CVSS 9.1 あり（4.45） 10 件未満 Defiant・MITRE
2026/10/13 BP Profile Search <= 5.9 - Unauthenticated Local File Inclusion to Remote Code Execution via 'bps_directory' Cookie 'ajax_template' ValueCVE-2026-104995 BP Profile Searchbp-profile-search 高（High） CVSS 8.1 あり（6.0） 10 件未満 Defiant・MITRE
2026/10/13 Booking Package <= 1.7.29 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeCVE-2026-103425 Booking Packagebooking-package 中（Medium） CVSS 6.4 あり（1.7.30） 1,178 件 Defiant・MITRE
2026/10/13 Booking Package <= 1.7.29 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'mode=sendBooking' with nonexistent 'timeKey' and 'public=0'CVE-2026-103423 Booking Packagebooking-package 高（High） CVSS 7.5 あり（1.7.30） 1,178 件 Defiant・MITRE
2026/10/13 WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory <= 2.9.23 - Missing AuthorizationCVE-2026-108496 WP User Managerwp-user-manager 中（Medium） CVSS 5.3 あり（2.9.24） 18 件 Defiant・MITRE
2026/10/13 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder <= 5.2.8 - Missing AuthorizationCVE-2026-106597 User Registration & Membershipuser-registration 中（Medium） CVSS 5.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/13 SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments <= 4.9.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-109697 SureCartsurecart 中（Medium） CVSS 6.4 あり（4.9.5） 20 件 Defiant・MITRE
2026/10/13 Books Gallery – Book Showcase, Library & Affiliate Plugin <= 4.8.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-108487 Books Gallerywp-books-gallery 中（Medium） CVSS 6.4 あり（4.8.5） 10 件未満 Defiant・MITRE
2026/10/13 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder <= 5.2.8 - Unauthenticated Information ExposureCVE-2026-106598 User Registration & Membershipuser-registration 中（Medium） CVSS 5.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/13 Responsive Slider <= 0.1.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-54867 Responsive Sliderresponsive-slider 中（Medium） CVSS 6.4 なし 12 件 Defiant・MITRE
2026/10/13 Link Whisper Free <= 0.9.7 - Authenticated (Editor+) SQL InjectionCVE-2026-109687 Link Whisper Freelink-whisper 中（Medium） CVSS 4.9 あり（0.9.8） 30 件 Defiant・MITRE
2026/10/13 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder <= 5.2.8 - Missing AuthorizationCVE-2026-109699 User Registration & Membershipuser-registration 中（Medium） CVSS 5.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/13 Booking for Appointments and Events Calendar – Amelia <= 2.4.10 - Missing AuthorizationCVE-2026-109684 Booking for Appointments and Events Cal…ameliabooking 中（Medium） CVSS 5.3 あり（2.4.11） 56 件 Defiant・MITRE
2026/10/13 PowerPack Addons for Elementor (Free Widgets, Extensions and Templates) <= 3.1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-108488 PowerPack Addons for Elementorpowerpack-lite-for-elementor 中（Medium） CVSS 6.4 あり（3.1.1） 21 件 Defiant・MITRE
2026/10/13 IMPress for IDX Broker <= 3.3.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-54869 IMPress for IDX Brokeridx-broker-platinum 中（Medium） CVSS 6.4 なし 10 件未満 Defiant・MITRE
2026/10/13 Premium Addons for Elementor – AI-Ready Elementor Addons, Widgets & Templates <= 4.11.110 - Missing AuthorizationCVE-2026-109890 Premium Addons for Elementorpremium-addons-for-elementor 中（Medium） CVSS 5.3 あり（4.11.111） 645 件 Defiant・MITRE
2026/10/13 FOX – Currency Switcher Professional for WooCommerce <= 1.5.4 - Missing AuthorizationCVE-2026-108174 FOXwoocommerce-currency-switcher 中（Medium） CVSS 5.3 あり（1.5.5） 10 件未満 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use