WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「中」：2,754 件（5／56ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/10 WP Booking System <= 2.1.0.1 - Authenticated (Subscriber+) SQL Injection via 'current_month' ParameterCVE-2026-107712 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.5 あり（2.1.0.2） 13 件 Defiant・MITRE
2026/10/10 Payment Plugins for Stripe WooCommerce <= 4.0.17 - Reflected DOM-Based Cross-Site Scripting via '#response' URL FragmentCVE-2026-89100 Payment Plugins for Stripe WooCommercewoo-stripe-payment 中（Medium） CVSS 6.1 あり（4.0.18） 10 件未満 Defiant・MITRE
2026/10/10 Team <= 6.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'ttp_filter_taxonomy' Post Meta via [tlpteam] ShortcodeCVE-2026-102402 Teamtlp-team 中（Medium） CVSS 6.4 あり（6.0.3） 17 件 Defiant・MITRE
2026/10/10 SiteOrigin Widgets Bundle <= 1.74.3 - Authenticated (Contributor+) Arbitrary File Read via LESS Injection via [siteorigin_widget] Shortcode 'value' JSON Instance (design.colors LESS Variable)CVE-2026-97348 SiteOrigin Widgets Bundleso-widgets-bundle 中（Medium） CVSS 6.5 あり（1.75.0） 4,338 件 Defiant・MITRE
2026/10/10 Simple Membership <= 4.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Country FieldCVE-2026-103427 Simple Membershipsimple-membership 中（Medium） CVSS 6.4 あり（4.8.5） 794 件 Defiant・MITRE
2026/10/10 Responsive Lightbox & Gallery <= 2.7.9 - Authenticated (Editor+) Stored Cross-Site Scripting via Comment Content 'title' AttributeCVE-2026-103897 Responsive Lightbox & Galleryresponsive-lightbox 中（Medium） CVSS 4.4 あり（2.7.10） 3,796 件 Defiant・MITRE
2026/10/10 Post Export Import with Media <= 1.17.1 - Authenticated (Administrator+) Path Traversal to Arbitrary File Read via 'file_path' Parameter in media_metadata.jsonCVE-2026-104763 Post Export Import with Mediapost-export-import-with-media 中（Medium） CVSS 4.9 あり（1.17.2） 確認できず Defiant・MITRE
2026/10/10 Smart Popup by Supsystic <= 1.13.2 - Authenticated (Administrator+) SQL Injection via 'sidx' ParameterCVE-2026-104023 Smart Popup by Supsysticpopup-by-supsystic 中（Medium） CVSS 4.9 あり（1.13.3） 10 件未満 Defiant・MITRE
2026/10/10 Order Export & Order Import for WooCommerce <= 2.7.8 - Unauthenticated Sensitive File Exposure via Missing Directory Guard Re-verification in get_file_path()CVE-2026-94375 Order Export & Order Import for WooComm…order-import-export-for-woocommerce 中（Medium） CVSS 5.3 あり（2.7.9） 確認できず Defiant・MITRE
2026/10/10 Simple Newsletter Plugin <= 4.3.10 - Unauthenticated Stored Cross-Site Scripting via Subscriber Custom Field via Manage Preferences Form + Campaign Preview noptin_key PivotCVE-2026-103482 Noptinnewsletter-optin-box 中（Medium） CVSS 5.4 あり（4.4.0） 10 件未満 Defiant・MITRE
2026/10/10 MP3 Audio Player <= 5.14.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesCVE-2026-16776 MP3 Audio Playermp3-music-player-by-sonaar 中（Medium） CVSS 6.4 あり（5.15） 10 件未満 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Unauthorized Booking Creation and Sensitive Information Disclosure via 'params[presets][order_item_id]' ParameterCVE-2026-91050 Appointment Booking Pluginlatepoint 中（Medium） CVSS 4.3 あり（5.7.3） 20 件 Defiant・MITRE
2026/10/10 Kadence Blocks <= 3.7.12 - Authenticated (Author+) Stored Cross-Site Scripting via Block Font Family AttributeCVE-2026-104762 Kadence Blockskadence-blocks 中（Medium） CVSS 6.4 あり（3.7.12.1） 800 件 Defiant・MITRE
2026/10/10 JetFormBuilder <= 3.6.6 - Reflected DOM-Based Cross-Site Scripting via 'query_var' Dynamic Preset via data-jfb-macro / JFB_FIELD:: Macro RendererCVE-2026-103912 JetFormBuilderjetformbuilder 中（Medium） CVSS 4.7 あり（3.6.6.1） 73 件 Defiant・MITRE
2026/10/10 HivePress <= 1.7.31 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Listing Attribute Value in Administrator-configured HTML FormatCVE-2026-103520 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.7.32） 18 件 Defiant・MITRE
2026/10/10 GiveWP <= 4.17.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via givewp_campaign_grid Shortcode AttributesCVE-2026-97643 GiveWPgive 中（Medium） CVSS 6.4 あり（4.18.0） 31 件 Defiant・MITRE
2026/10/10 Church Admin <= 5.1.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'email' ParameterCVE-2026-94421 Church Adminchurch-admin 中（Medium） CVSS 6.4 あり（5.1.3） 確認できず Defiant・MITRE
2026/10/10 Getwid <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'data-image-points'CVE-2026-91862 Getwidgetwid 中（Medium） CVSS 6.4 あり（3.0.2） 162 件 Defiant・MITRE
2026/10/10 Table Field Add-on for ACF and SCF <= 1.3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table Cell ContentCVE-2026-78068 Table Field Add-on for ACF and SCFadvanced-custom-fields-table-field 中（Medium） CVSS 6.4 あり（1.3.40） 確認できず Defiant・MITRE
2026/10/10 Embed Any Document <= 2.7.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'embeddoc' ShortcodeCVE-2026-18558 Embed Any Documentembed-any-document 中（Medium） CVSS 6.4 あり（2.7.14） 177 件 Defiant・MITRE
2026/10/10 Booking Calendar <= 11.4.3 - Unauthenticated Sensitive Information Exposure in 'WPBC_FLEXTIMELINE_NAV' AJAX ActionCVE-2026-18496 Booking Calendarbooking 中（Medium） CVSS 5.3 あり（11.5） 15 件 Defiant・MITRE
2026/10/10 Brizy <= 2.8.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'brizy-compiled-sections' Post MetaCVE-2026-14882 Brizybrizy 中（Medium） CVSS 6.4 あり（2.8.19） 89 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.12.03 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table 'id' HTML AttributeCVE-2026-14877 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.12.04） 144 件 Defiant・MITRE
2026/10/10 GamiPress <= 7.9.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'video_id' ParameterCVE-2026-14379 GamiPressgamipress 中（Medium） CVSS 6.4 あり（7.9.5） 10 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.57 - Unauthenticated DOM-Based Reflected Cross-Site Scripting via 'REFERRER' ParameterCVE-2026-12054 Download Managerdownload-manager 中（Medium） CVSS 6.1 あり（3.3.58） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.58 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpdm_packages ShortcodeCVE-2026-9696 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.59） 2,334 件 Defiant・MITRE
2026/10/10 Appointment Booking Calendar <= 1.6.11.11 - Incorrect Authorization to Unauthenticated Sensitive Field Modification via Appointment Public TokenCVE-2026-6723 Simply Schedule Appointmentssimply-schedule-appointments 中（Medium） CVSS 5.3 あり（1.6.12.0） 17 件 Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.188 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Contact Email Custom FieldCVE-2026-104993 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.189） 12 件 Defiant・MITRE
2026/10/10 Hello Plus <= 1.7.7 - Authenticated (Contributor+) Missing Authorization to Template Activation via hello_plus_set_as_entire_siteCVE-2026-5727 Hello Plushello-plus 中（Medium） CVSS 5.4 あり（1.7.8） 10 件未満 Defiant・MITRE
2026/10/10 FV Flowplayer Video Player <= 7.5.54.7212 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Unquoted popup Shortcode AttributeCVE-2026-97630 FV Flowplayer Video Playerfv-wordpress-flowplayer 中（Medium） CVSS 6.4 あり（7.5.55.7212） 確認できず Defiant・MITRE
2026/10/10 Form Maker by 10Web <= 1.15.48 - Reflected Cross-Site Scripting via 'inputs' Parameter Array KeyCVE-2026-103998 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.49） 11 件 Defiant・MITRE
2026/10/10 Fluent Forms <= 6.2.14 - Reflected Cross-Site Scripting via '{get.*}' Editor SmartCode ParameterCVE-2026-101324 Fluent Formsfluentform 中（Medium） CVSS 4.7 あり（6.2.15） 671 件 Defiant・MITRE
2026/10/10 FireBox <= 3.1.13 - Authenticated (Author+) SQL Injection via FireBox Form Display ConditionCVE-2026-104724 FireBoxfirebox 中（Medium） CVSS 5.3 あり（3.1.14） 10 件未満 Defiant・MITRE
2026/10/10 Filter Everything — WordPress & WooCommerce Filters <= 1.9.6 - Reflected Cross-Site Scripting via Elementor Posts Widget Pagination URLCVE-2026-87869 Filter Everythingfilter-everything 中（Medium） CVSS 6.1 あり（1.9.7） 14 件 Defiant・MITRE
2026/10/10 RSS Aggregator by Feedzy <= 5.2.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via Feedzy Loop Block Feed URL / RSS <title>CVE-2026-104735 RSS Aggregator by Feedzyfeedzy-rss-feeds 中（Medium） CVSS 6.4 あり（5.2.11） 451 件 Defiant・MITRE
2026/10/10 Anti-Spam by CleanTalk <= 6.88 - Unauthenticated Stored Cross-Site Scripting via Comment Content via ContactsEncoder Greedy RegexCVE-2026-103424 Spam protection, AntiSpam, FireWall by …cleantalk-spam-protect 中（Medium） CVSS 5.4 あり（6.89） 138 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Subscriber+) Sensitive Information Exposure via Email Template Token Injection in 'first_name' Profile Field Token Injection into Suspension EmailCVE-2026-103964 Download Managerdownload-manager 中（Medium） CVSS 4.3 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'regurl' Shortcode AttributeCVE-2026-102401 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.15.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Table Cell 'data' Value via updateRows ActionCVE-2026-96648 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.15.3） 144 件 Defiant・MITRE
2026/10/10 Online Scheduling and Appointment Booking System <= 28.4 - Insecure Direct Object Reference to Authenticated (Subscriber+) Privilege Escalation via 'id' and 'wp_user_id' Parameters via Query String / JSON BodyCVE-2026-104898 Online Scheduling and Appointment Booki…bookly-responsive-appointment-booking-tool 中（Medium） CVSS 6.8 あり（28.5） 30 件 Defiant・MITRE
2026/10/10 Online Scheduling and Appointment Booking System <= 28.4 - Unauthenticated Sensitive Information Exposure in 'phone' Parameter to bookly_render_detailsCVE-2026-103365 Online Scheduling and Appointment Booki…bookly-responsive-appointment-booking-tool 中（Medium） CVSS 5.3 あり（28.5） 30 件 Defiant・MITRE
2026/10/9 Table Field Add-on for ACF and SCF <= 1.4.1-RC2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Table Field ValueCVE-2026-96743 Table Field Add-on for ACF and SCFadvanced-custom-fields-table-field 中（Medium） CVSS 6.4 あり（1.4.1） 確認できず Defiant・MITRE
2026/10/9 Advanced Classifieds & Directory Pro <= 3.4.4 - Authenticated (Custom+) Stored Cross-Site Scripting via 'phone' ParameterCVE-2026-93883 Advanced Classifieds & Directory Proadvanced-classifieds-and-directory-pro 中（Medium） CVSS 6.4 あり（3.5.0） 10 件未満 Defiant・MITRE
2026/10/9 Academy LMS <= 4.0.3 - Missing Authorization to Authenticated (Custom+) Arbitrary Academy Comment Deletion via delete_lesson_comment AJAX — Attacker-Controlled course_id vs. Target comment_idCVE-2026-104915 Academy LMSacademy 中（Medium） CVSS 6.5 あり（4.0.4） 確認できず Defiant・MITRE
2026/10/9 DTX – Dynamic Text Extension for Contact Form 7 <= 5.0.7 - Unauthenticated Information ExposureCVE-2026-62043 DTXcontact-form-7-dynamic-text-extension 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 Upcasted S3 Offload – AWS S3, DigitalOcean Spaces, Backblaze, MinIO Storage Integration <= 3.1.0 - Missing AuthorizationCVE-2026-62035 Upcasted S3 Offloadupcasted-s3-offload 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE
2026/10/9 Scripts n Styles <= 3.5.8 - Missing AuthorizationCVE-2026-62042 Scripts n Stylesscripts-n-styles 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 click5 CRM add-on to WPForms <= 1.0.3 - Missing AuthorizationCVE-2026-84252 click5 CRM add-on to WPFormswpf-add-on-by-click5 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 Quick quotes <= 1.0.0 - Missing AuthorizationCVE-2026-86706 Quick quotesquick-quotes-wpshare247 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE
2026/10/9 Hotel Booking <= 3.8 - Authenticated (Subscriber+) Insecure Direct Object ReferenceCVE-2026-84167 Hotel Bookingnd-booking 中（Medium） CVSS 4.3 なし 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use