WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,235 件（44／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/9/9 Verified Reviews (Avis Vérifiés) <= 2.4.6 - Unauthenticated SQL InjectionCVE-2026-81800 Verified Reviewsnetreviews 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/9/9 IP2Location Country Blocker <= 2.44.0 - IP SoofingCVE-2026-82530 IP2Location Country Blockerip2location-country-blocker 中（Medium） CVSS 5.3 あり（2.45.0） 確認できず Defiant・MITRE
2026/9/9 Simple CAPTCHA with Cloudflare Turnstile <= 1.42.1 - Unauthenticated Arbitrary Shortcode ExecutionCVE-2026-85116 Simple CAPTCHA with Cloudflare Turnstilesimple-cloudflare-turnstile 中（Medium） CVSS 6.5 あり（1.42.3） 98 件 Defiant・MITRE
2026/9/9 ZHBackup – Backup, Restore & Migration <= 2.4.2 - Unauthenticated Information ExposureCVE-2026-81804 ZHBackupzhbackup 中（Medium） CVSS 5.3 あり（2.4.3） 確認できず Defiant・MITRE
2026/9/9 Masteriyo LMS – LMS Course Builder, Quizzes & Certificates 1.3.1 - 2.3.3 - Unauthenticated Information ExposureCVE-2026-82848 Masteriyo LMSlearning-management-system 中（Medium） CVSS 5.3 あり（3.4.0） 確認できず Defiant・MITRE
2026/9/9 MetForm – Contact Form, Survey, Quiz, Conditional Forms, Form Templates & Custom Form Builder for Elementor < 4.1.9 - Unauthenticated Email Header InjectionCVE-2026-86813 MetFormmetform 中（Medium） CVSS 5.3 あり（4.1.9） 65 件 Defiant・MITRE
2026/9/9 Advanced Customized Prompts <= 1.0.1 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-14565 Advanced Customized Promptsadvanced-customized-prompts 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 Groundhogg — CRM, Newsletters, and Marketing Automation <= 4.7.1 - Authenticated (Import_contacts+) Path TraversalCVE-2026-85310 Groundhogggroundhogg 中（Medium） CVSS 6.5 あり（4.7.2） 確認できず Defiant・MITRE
2026/9/9 SiteSkite MCP AI – Connector for Claude, ChatGPT, Cursor & WordPress WebOps <= 2.1.5 - Unauthenticated Privilege EscalationCVE-2026-81805 SiteSkitesiteskite 高（High） CVSS 7.3 あり（2.1.6） 確認できず Defiant・MITRE
2026/9/9 Rara One Click Demo Import <= 1.3.4 - Authenticated (Admin+) Arbitrary File UploadCVE-2026-26212 Rara One Click Demo Importrara-one-click-demo-import 高（High） CVSS 7.2 あり（1.3.5） 確認できず Defiant・MITRE
2026/9/9 Teddy Bear Customize Addon <= 1.0.5 - Unauthenticated Privilege Escalation via Account TakeoverCVE-2026-14559 Teddy Bear Customize Addonteddy-bear-customize-addon 緊急（Critical） CVSS 9.8 なし 確認できず Defiant・MITRE
2026/9/9 Content Mask 1.7.1 - 1.8.5.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2025-15690 Content Maskcontent-mask 中（Medium） CVSS 6.4 あり（1.8.5.6） 確認できず Defiant・MITRE
2026/9/9 Translate WordPress with GTranslate < 3.0.10 - Authenticated (Administrator+) Stored Cross-Site ScriptingCVE-2025-15695 Translate WordPress with GTranslategtranslate 中（Medium） CVSS 4.4 あり（3.0.10） 4,089 件 Defiant・MITRE
2026/9/9 Teddy Bear Customize Addon <= 1.0.5 - Unauthenticated Arbitrary File UploadCVE-2026-14560 Teddy Bear Customize Addonteddy-bear-customize-addon 緊急（Critical） CVSS 9.8 なし 確認できず Defiant・MITRE
2026/9/9 المنتور فارسی 2.7.10 - 2.8.1 - Payment Bypass to Unauthenticated Unauthorized Order CompletionCVE-2026-86809 المنتور فارسیpersian-elementor 中（Medium） CVSS 5.3 あり（2.8.2） 確認できず Defiant・MITRE
2026/9/9 Teddy Bear Customize Addon <= 1.0.5 - Unauthenticated Information ExposureCVE-2026-14562 Teddy Bear Customize Addonteddy-bear-customize-addon 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/9 WPCS – WordPress Currency Switcher Professional <= 1.3.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-84816 WPCScurrency-switcher 高（High） CVSS 7.2 あり（1.3.3） 確認できず Defiant・MITRE
2026/9/9 Shirt Product Designer for WooCommerce 1.0.4 - Missing AuthorizationCVE-2026-81794 Shirt Product Designer for WooCommercewoo-shirt-product-designer 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/9/9 Kirki – Freeform Page Builder, Website Builder & Customizer 6.2.1 - 6.2.5 - Unauthenticated Information ExposureCVE-2026-84222 Kirkikirki 中（Medium） CVSS 5.3 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/9/9 SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent 3.3.6 - 3.5.2 - Unauthenticated Information ExposureCVE-2026-81022 SupportCandysupportcandy 中（Medium） CVSS 5.3 あり（3.5.3） 10 件未満 Defiant・MITRE
2026/9/9 Advanced Customized Prompts <= 1.0.1 - Unauthenticated Privilege Escalation via Account TakeoverCVE-2026-14563 Advanced Customized Promptsadvanced-customized-prompts 緊急（Critical） CVSS 9.8 なし 確認できず Defiant・MITRE
2026/9/9 WP Docs <= 2.3.3 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-81782 WP Docswp-docs 中（Medium） CVSS 6.4 なし 確認できず Defiant・MITRE
2026/9/9 RepairBuddy – Repair Shop CRM & Booking Plugin for WordPress <= 4.1224 - Authenticated (Subscriber+) Remote Code ExecutionCVE-2026-81803 RepairBuddycomputer-repair-shop 高（High） CVSS 8.8 あり（4.1225） 確認できず Defiant・MITRE
2026/9/9 Advanced Product Fields Extended for WooCommerce <= 3.1.6 - Unauthenticated Arbitrary File DeletionCVE-2026-81789 Advanced Product Fields Extended for Wo…advanced-product-fields-for-woocommerce-extended 緊急（Critical） CVSS 9.1 あり（3.1.7） 11 件 Defiant・MITRE
2026/9/9 Sina Extension for Elementor 3.7.1 - 3.10.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-83541 Sina Extension for Elementorsina-extension-for-elementor 中（Medium） CVSS 6.4 あり（3.10.4） 10 件未満 Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Bluehostbluehost-wordpress-plugin 高（High） CVSS 8.8 あり（4.19.1） 31 件 Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Module Datawp-module-data 高（High） CVSS 8.8 あり（2.9.8） 確認できず Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Crazy Domainswp-plugin-crazy-domains 高（High） CVSS 8.8 あり（2.5.3） 確認できず Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Hostgatorwp-plugin-hostgator 高（High） CVSS 8.8 あり（3.2.1） 10 件未満 Defiant・MITRE
2026/9/9 Various Newfold Plugins Various Versions - Unauthenticated Authentication Bypass via Bearer Token Validation with Empty SecretCVE-2026-80099 WP Plugin Webwp-plugin-web 高（High） CVSS 8.8 あり（2.3.6） 確認できず Defiant・MITRE
2026/9/9 YITH WooCommerce Waitlist Premium <= 3.35.0 - Authenticated (Subscriber+) Privilege Escalation to Admin via wp_ajax_yith_wcwtl_add_userCVE-2026-14359 YITH WooCommerce Waitlist Premiumyith-woocommerce-waiting-list-premium 高（High） CVSS 8.8 あり（3.36.0） 10 件未満 Defiant・MITRE
2026/9/9 Cookie Banner for GDPR / CCPA <= 4.4.1 - Unauthenticated Stored Cross-Site Scripting via 'wpl_user_preference' ParameterCVE-2026-14989 WPLP Cookie Consentgdpr-cookie-consent 高（High） CVSS 7.2 あり（4.4.2） 10 件未満 Defiant・MITRE
2026/9/9 myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wrapper' Shortcode AttributeCVE-2026-17149 Points Management System For Gamificati…mycred 中（Medium） CVSS 6.4 あり（3.2.5） 32 件 Defiant・MITRE
2026/9/9 WPMR Google Feed Manager for WooCommerce <= 2.23.7 - Authenticated (Administrator+) SQL Injection via 'feed' ParameterCVE-2026-19778 WPMR Google Feed Manager for WooCommercewp-product-feed-manager 中（Medium） CVSS 6.5 あり（2.23.8） 確認できず Defiant・MITRE
2026/9/9 PublishPress Capabilities <= 2.50.0 - Authenticated (Editor+) Privilege Escalation to Fresh-Install Default Capability GrantCVE-2026-75927 PublishPress Capabilitiescapability-manager-enhanced 高（High） CVSS 7.2 あり（2.50.1） 確認できず Defiant・MITRE
2026/9/9 Checkout Custom Fields Builder for WooCommerce <= 1.1.5 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Installation via 'plugin' ParameterCVE-2026-19802 Checkout Custom Fields Builder for WooC…checkout-custom-fields-builder-for-woocommerce 中（Medium） CVSS 4.3 あり（1.1.6） 確認できず Defiant・MITRE
2026/9/9 WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey' Parameters WP Compresswp-compress-image-optimizer 中（Medium） CVSS 5.3 あり（7.22.38） 10 件未満 Defiant
2026/9/9 Next-Cart Store to WooCommerce Migration <= 3.9.8 - Unauthenticated Authentication Bypass via Default '__token__' Fallback in REST Migration EndpointCVE-2026-76009 Next-Cart Store to WooCommerce Migrationnextcart-woocommerce-migration 高（High） CVSS 8.1 あり（3.9.9） 確認できず Defiant・MITRE
2026/9/9 ilGhera Reviso Exporter for WooCommerce <= 1.2.3 - Missing Authorization to Authenticated (Subscriber+) Agreement Grant Token Deletion via disconnect_callback FunctionCVE-2026-8615 ilGhera Reviso Exporter for WooCommercewc-exporter-for-reviso 中（Medium） CVSS 4.3 あり（1.2.4） 確認できず Defiant・MITRE
2026/9/9 WPFunnels <= 3.12.13 - Missing Authorization to Unauthenticated Arbitrary Product Price Manipulation via 'wpfnl_load_payment' AJAX ActionCVE-2026-84908 WPFunnelswpfunnels 中（Medium） CVSS 5.3 あり（3.13.0） 確認できず Defiant・MITRE
2026/9/9 Awesome Support <= 6.3.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary User Denial via 'user_id' ParameterCVE-2026-19946 Awesome Supportawesome-support 中（Medium） CVSS 4.3 あり（6.4.0） 確認できず Defiant・MITRE
2026/9/9 WPBot <= 8.7.3 - Unauthenticated Stored Cross-Site Scripting via 'conversation' ParameterCVE-2026-83593 WPBotchatbot 高（High） CVSS 7.2 あり（8.7.4） 10 件未満 Defiant・MITRE
2026/9/9 WP Recipe Maker <= 10.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Recipe Ownership Takeover and Unpublishing via '[wprm-recipe]' ShortcodeCVE-2026-75905 WP Recipe Makerwp-recipe-maker 中（Medium） CVSS 4.3 あり（10.8.1） 45 件 Defiant・MITRE
2026/9/9 Eventin <= 4.1.17 - Missing Authorization to Authenticated (Subscriber+) Notification Flow Management via notification-flow REST API EndpointCVE-2026-11821 Eventinwp-event-solution 中（Medium） CVSS 5.4 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-19945 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 6.4 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 WP Crowdfunding <= 2.2.1 - Authenticated (Shop Manager+) SQL Injection via 'wpneo_reward' Post MetaCVE-2026-19944 WP Crowdfundingwp-crowdfunding 中（Medium） CVSS 4.9 あり（2.2.2） 10 件未満 Defiant・MITRE
2026/9/9 User Access Manager <= 2.3.18 - Reflected Cross-Site Scripting via 'tab_group_section' ParameterCVE-2026-19797 User Access Manageruser-access-manager 中（Medium） CVSS 6.1 あり（2.3.19） 747 件 Defiant・MITRE
2026/9/8 Shopping Cart & eCommerce Store <= 5.9.3 - Authenticated (Store Manager+) Privilege Escalation to ec_ajax_save_page_default_options AJAX ActionCVE-2026-17553 WP EasyCartwp-easycart 高（High） CVSS 7.2 あり（5.9.4） 確認できず Defiant・MITRE
2026/9/8 Product Filter for WooCommerce by WBW <= 3.4.2 - Reflected Cross-Site Scripting via 'wpf_fid' ParameterCVE-2026-7804 Product Filter for WooCommerce by WBWwoo-product-filter 中（Medium） CVSS 6.1 あり（3.4.3） 10 件未満 Defiant・MITRE
2026/9/8 Podlove Podcast Publisher <= 4.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'episode_contributor[..][..][comment]' ParameterCVE-2026-75966 Podlove Podcast Publisherpodlove-podcasting-plugin-for-wordpress 中（Medium） CVSS 6.4 あり（4.5.6） 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use