WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度・国内で使われているもの：2,419 件（31／49ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/8/28 Affiliate Program Suite — SliceWP Affiliates <= 1.2.10 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-82224 Affiliate Program Suiteslicewp 高（High） CVSS 7.2 あり（1.2.11） 15 件 Defiant・MITRE
2026/8/28 GiveWP – Donation Plugin and Fundraising Platform <= 4.16.7.1 - Unauthenticated PHP Object Injection to Remote Code ExecutionCVE-2026-82222 GiveWPgive 緊急（Critical） CVSS 9.8 あり（4.16.7.2） 31 件 Defiant・MITRE
2026/8/28 WP OAuth Server ( Login with WordPress ) < 6.3.1 - Unauthenticated Information ExposureCVE-2026-19715 WP OAuth Serverminiorange-oauth-20-server 中（Medium） CVSS 5.3 あり（6.3.1） 10 件未満 Defiant・MITRE
2026/8/28 Hash Form – Drag & Drop Form Builder <= 1.4.2 - Unauthenticated Arbitrary File UploadCVE-2026-81780 Hash Formhash-form 緊急（Critical） CVSS 9.8 あり（1.4.3） 10 件未満 Defiant・MITRE
2026/8/28 Breeze Cache < 2.5.13 - Unauthenticated File Creation via Path TraversalCVE-2026-79706 Breeze Cachebreeze 中（Medium） CVSS 5.3 あり（2.5.13） 63 件 Defiant・MITRE
2026/8/28 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder < 5.2.5 - Authenticated (Subscriber+) Insecure Direct Object ReferenceCVE-2026-79995 User Registration & Membershipuser-registration 中（Medium） CVSS 4.3 あり（5.2.5） 10 件未満 Defiant・MITRE
2026/8/28 Bit Assist <= 1.7.1 - Authenticated (Admin+) Stored Cross-Site ScriptingCVE-2026-39070 Chat Widgetbit-assist 中（Medium） CVSS 4.4 あり（1.7.2） 10 件未満 Defiant・MITRE
2026/8/28 RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login <= 6.0.9.8 - Authentication BypassCVE-2026-82225 RegistrationMagiccustom-registration-form-builder-with-submission-manager 高（High） CVSS 7.3 あり（6.0.9.9） 10 件未満 Defiant・MITRE
2026/8/28 Directorist: AI-Powered Business Directory, Listings & Classified Ads 8.5 - 8.9.2 - Authenticated (Subscriber+) Arbitrary Image MoveCVE-2026-77757 Directoristdirectorist 中（Medium） CVSS 4.3 あり（8.9.3） 10 件未満 Defiant・MITRE
2026/8/28 Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.57.1 - Unauthenticated Payment BypassCVE-2026-82220 Forminator Formsforminator 中（Medium） CVSS 5.3 あり（1.57.2） 527 件 Defiant・MITRE
2026/8/28 Tutor LMS – eLearning and online course solution < 4.0.6 - Authenticated (Custom Role+) Arbitrary File ReadCVE-2026-19093 Tutor LMStutor 中（Medium） CVSS 6.5 あり（4.0.6） 34 件 Defiant・MITRE
2026/8/28 Fluent Forms Pro Add On Pack <= 6.2.12 - Authenticated (Subscriber+) Privilege EscalationCVE-2026-81297 Fluent Forms Pro Add On Packfluentformpro 中（Medium） CVSS 6.3 あり（6.2.13） 10 件未満 Defiant・MITRE
2026/8/28 Return Refund and Exchange For WooCommerce < 4.6.4 - Missing AuthorizationCVE-2026-77695 Return Refund and Exchange For WooComme…woo-refund-and-exchange-lite 中（Medium） CVSS 5.3 あり（4.6.4） 10 件未満 Defiant・MITRE
2026/8/28 WP Rocket 3.23.1 - 3.23.3.2 - Unauthenticated Information Exposure WP Rocketwp-rocket 中（Medium） CVSS 5.3 あり（3.23.3.3） 2,186 件 Defiant
2026/8/28 Shared Files Pro < 1.7.68 & Shared Files Free < 1.7.67 - Unauthenticated Arbitrary File DeletionCVE-2026-12513 Shared Filesshared-files 緊急（Critical） CVSS 9.1 あり（1.7.67） 10 件未満 Defiant・MITRE
2026/8/28 Shared Files Pro < 1.7.68 & Shared Files Free < 1.7.67 - Unauthenticated Arbitrary File DeletionCVE-2026-12513 Shared Files Proshared-files-pro 緊急（Critical） CVSS 9.1 あり（1.7.68） 10 件未満 Defiant・MITRE
2026/8/28 Social Login, Social Sharing by miniOrange <= 7.8.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-82229 miniOrange Social Login and Registerminiorange-login-openid 高（High） CVSS 7.2 あり（7.9.0） 18 件 Defiant・MITRE
2026/8/28 Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin 2.6.7 - 2.12.1 - Unauthenticated Privilege EscalationCVE-2026-19423 Ultimate Memberultimate-member 高（High） CVSS 7.3 あり（2.13.0） 450 件 Defiant・MITRE
2026/8/28 Throws SPAM Away <= 3.8.2 - Unauthenticated SQL InjectionCVE-2026-81763 Throws SPAM Awaythrows-spam-away 高（High） CVSS 7.5 あり（3.9） 10 件未満 Defiant・MITRE
2026/8/28 CMP – Coming Soon & Maintenance Plugin by NiteoThemes < 4.1.18 - Authenticated (Editor+) Privilege EscalationCVE-2026-13415 CMPcmp-coming-soon-maintenance 中（Medium） CVSS 4.7 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/8/28 Pods – Custom Content Types and Fields < 3.3.9.1 - Authenticated (Author+) Remote Code ExecutionCVE-2026-74851 Podspods 高（High） CVSS 8.8 あり（3.3.9.1） 271 件 Defiant・MITRE
2026/8/28 Document Embedder – let visitors read files without downloading < 2.3.1 - Unauthenticated Arbitrary Document DownloadCVE-2026-16567 Document Embedderdocument-emberdder 高（High） CVSS 7.5 あり（2.3.1） 21 件 Defiant・MITRE
2026/8/28 Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker < 11.2.4 - Authenticated (Contributor+) Insecure Direct Object ReferenceCVE-2026-79615 Quiz and Survey Masterquiz-master-next 中（Medium） CVSS 4.3 あり（11.2.4） 214 件 Defiant・MITRE
2026/8/28 AI Engine – The Chatbot, AI Framework & MCP for WordPress 3.4.0 - 3.7.1 - Missing Authorization to Unauthenticated Arbitrary AI Query ExecutionCVE-2026-75798 AI Engineai-engine 中（Medium） CVSS 5.3 あり（3.7.2） 436 件 Defiant・MITRE
2026/8/28 Slider Hero with Video Background, Animation < 9.1.3 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-76789 Slider Hero with Video Background, Anim…slider-hero 高（High） CVSS 7.2 あり（9.1.3） 10 件未満 Defiant・MITRE
2026/8/28 Animation Addons for Elementor – GSAP Motion Elementor Addons & Website Templates < 2.7.2 - Unauthenticated Server-Side Request ForgeryCVE-2026-17565 Animation Addonsanimation-addons-for-elementor 高（High） CVSS 7.2 あり（2.7.2） 10 件未満 Defiant・MITRE
2026/8/28 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder < 5.2.6 - Authenticated (Custom Role+) Privilege EscalationCVE-2026-79996 User Registration & Membershipuser-registration 中（Medium） CVSS 6.3 あり（5.2.6） 10 件未満 Defiant・MITRE
2026/8/28 Avada (Fusion) Builder <= 3.15.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'size' Shortcode AttributeCVE-2026-16654 Avadafusion-builder 中（Medium） CVSS 6.4 あり（3.16） 227 件 Defiant・MITRE
2026/8/28 Tutor LMS <= 4.0.5 - Unauthenticated Remote Code Execution via 'template' and 'data' POST ParametersCVE-2026-16759 Tutor LMStutor 中（Medium） CVSS 6.5 あり（4.0.6） 34 件 Defiant・MITRE
2026/8/28 One User Avatar | User Profile Picture <= 2.5.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via wpua-file ParameterCVE-2026-18983 One User Avatarone-user-avatar 高（High） CVSS 7.5 あり（2.5.5） 10 件未満 Defiant・MITRE
2026/8/28 LiteSpeed Cache <= 7.8.1 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-18978 LiteSpeed Cachelitespeed-cache 高（High） CVSS 7.2 あり（7.9） 5,993 件 Defiant・MITRE
2026/8/28 LiteSpeed Cache <= 7.7 - Authenticated (Author+) Stored Cross-Site Scripting via img Tag AttributesCVE-2026-3129 LiteSpeed Cachelitespeed-cache 中（Medium） CVSS 6.4 あり（7.8） 5,993 件 Defiant・MITRE
2026/8/28 Forminator Forms <= 1.57.0.1 - Unauthenticated Stored Cross-Site Scripting via Rich-Text Textarea FieldCVE-2026-18324 Forminator Formsforminator 高（High） CVSS 7.2 あり（1.57.0.2） 527 件 Defiant・MITRE
2026/8/27 TranslatePress <= 3.3.3 - Unauthenticated Stored Cross-Site Scripting via Comment Noise-Key Injection into HTML ParserCVE-2026-76053 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.2 あり（3.3.4） 938 件 Defiant・MITRE
2026/8/27 Optimole <= 4.2.10 - Unauthenticated Stored Cross-Site Scripting via 'a' (above_fold_images) ParameterCVE-2026-77365 Optimoleoptimole-wp 高（High） CVSS 7.2 あり（4.2.11） 2,134 件 Defiant・MITRE
2026/8/27 Smart Slider 3 <= 3.5.1.38 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slider' Block AttributeCVE-2026-15798 Smart Slider 3smart-slider-3 中（Medium） CVSS 6.4 あり（3.5.1.39） 5,896 件 Defiant・MITRE
2026/8/27 Frontend Admin by DynamiApps < 3.29.11 - Authenticated (Subscriber+) Membership Plan DeletionCVE-2026-81346 ACF Frontend Admin by DynamiAppsacf-frontend-form-element 中（Medium） CVSS 4.3 あり（3.29.11） 32 件 Defiant・MITRE
2026/8/27 MW WP Form < 5.1.5 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-78363 MW WP Formmw-wp-form 中（Medium） CVSS 6.5 あり（5.1.5） 739 件 Defiant・MITRE
2026/8/27 Envira Gallery <= 1.12.4 - Authenticated (Author+) Stored Cross-Site Scripting via Gallery DescriptionCVE-2026-3423 Envira Galleryenvira-gallery-lite 中（Medium） CVSS 6.4 あり（1.12.5） 10 件未満 Defiant・MITRE
2026/8/27 WP Rocket <= 3.21.0.1 - Unauthenticated Stored Cross-Site Scripting via Picture Source Attributes in rocket_beacon EndpointCVE-2026-5934 WP Rocketwp-rocket 高（High） CVSS 7.2 あり（3.21.1） 2,186 件 Defiant・MITRE
2026/8/27 Rank Math SEO – AI SEO Tools to Dominate SEO Rankings <= 1.0.276 - Authenticated (Author+) Remote Code ExecutionCVE-2026-81757 Rank Math SEOseo-by-rank-math 高（High） CVSS 8.8 あり（1.0.277） 3,923 件 Defiant・MITRE
2026/8/27 WP Job Portal – AI-Powered Recruitment System for Company or Job Board website <= 2.5.9 - Authenticated (Subscriber+) Insecure Direct Object ReferenceCVE-2026-81299 WP Job Portalwp-job-portal 中（Medium） CVSS 4.3 あり（2.6.0） 10 件未満 Defiant・MITRE
2026/8/27 CMP – Coming Soon & Maintenance Plugin by NiteoThemes < 4.1.18 - Missing Authorization to Unauthenticated Settings ChangeCVE-2026-13414 CMPcmp-coming-soon-maintenance 中（Medium） CVSS 5.3 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/8/27 Smush – Image Optimization, Compression, Lazy Load, WebP & CDN < 4.3.2 - Authenticated (Administrator+) Remote Code ExecutionCVE-2026-19223 Smushwp-smushit 高（High） CVSS 7.2 あり（4.3.2） 1,871 件 Defiant・MITRE
2026/8/27 Newsletters < 4.17 - Insufficient AuthorizationCVE-2026-17520 Newslettersnewsletters-lite 中（Medium） CVSS 5.3 あり（4.17） 10 件未満 Defiant・MITRE
2026/8/27 Finale Lite – Sales Countdown Timer & Discount for WooCommerce < 2.21.0 - Authenticated (Subscriber+) Information ExposureCVE-2026-78138 Finale Litefinale-woocommerce-sales-countdown-timer-discount 中（Medium） CVSS 4.3 あり（2.21.0） 10 件未満 Defiant・MITRE
2026/8/27 JetEngine <= 3.8.14.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-81760 JetEnginejet-engine 高（High） CVSS 7.2 あり（3.8.14.3） 637 件 Defiant・MITRE
2026/8/27 AI Engine – The Chatbot, AI Framework & MCP for WordPress 3.3.3 - 3.7.1 - Authenticated (Subscriber+) Arbitrary File ReadCVE-2026-75797 AI Engineai-engine 中（Medium） CVSS 6.5 あり（3.7.2） 436 件 Defiant・MITRE
2026/8/27 Essential Addons for Elementor – Popular Elementor Templates & Widgets <= 6.8.0 - Unauthenticated Captcha BypassCVE-2026-81777 Essential Addons for Elementoressential-addons-for-elementor-lite 中（Medium） CVSS 5.3 あり（6.8.1） 1,874 件 Defiant・MITRE
2026/8/27 Booking for Appointments and Events Calendar <= 2.2 - Unauthenticated Stored Cross-Site Scripting via Customer Name Fields in Booking SubmissionCVE-2026-6286 Booking for Appointments and Events Cal…ameliabooking 高（High） CVSS 7.2 あり（2.2.1） 56 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use