WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度・国内で使われているもの：2,419 件（5／49ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/10 PPOM <= 34.0.10 - Unauthenticated Arbitrary File Deletion via 'ppom[fields][<data_name>][n][org]' ParameterCVE-2026-104801 PPOMwoocommerce-product-addon 緊急（Critical） CVSS 9.1 あり（34.0.11） 10 件未満 Defiant・MITRE
2026/10/10 Frontend Admin by DynamiApps <= 3.28.36 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post ContentCVE-2026-6243 ACF Frontend Admin by DynamiAppsacf-frontend-form-element 中（Medium） CVSS 6.4 あり（3.29.1） 32 件 Defiant・MITRE
2026/10/10 WP File Download <= 6.3.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Deletion/Modification via 'task' Parameter to Multiple FunctionsCVE-2026-94538 WP File Downloadwp-file-download 高（High） CVSS 8.1 あり（6.3.10） 10 件未満 Defiant・MITRE
2026/10/10 WP Booking System <= 2.1.0.1 - Authenticated (Subscriber+) SQL Injection via 'current_month' ParameterCVE-2026-107712 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.5 あり（2.1.0.2） 13 件 Defiant・MITRE
2026/10/10 Payment Plugins for Stripe WooCommerce <= 4.0.17 - Reflected DOM-Based Cross-Site Scripting via '#response' URL FragmentCVE-2026-89100 Payment Plugins for Stripe WooCommercewoo-stripe-payment 中（Medium） CVSS 6.1 あり（4.0.18） 10 件未満 Defiant・MITRE
2026/10/10 10Web Booster <= 2.34.8 - Unauthenticated Stored Cross-Site Scripting via Comment Author NameCVE-2026-107742 10Web Boostertenweb-speed-optimizer 高（High） CVSS 7.2 あり（2.34.10） 15 件 Defiant・MITRE
2026/10/10 Team <= 6.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'ttp_filter_taxonomy' Post Meta via [tlpteam] ShortcodeCVE-2026-102402 Teamtlp-team 中（Medium） CVSS 6.4 あり（6.0.3） 17 件 Defiant・MITRE
2026/10/10 Post Grid Gutenberg Blocks <= 5.1.0 - Unauthenticated Stored Cross-Site Scripting via display_name User FieldCVE-2026-96840 Post Grid Gutenberg Blocksultimate-post 高（High） CVSS 7.2 あり（5.1.1） 59 件 Defiant・MITRE
2026/10/10 SiteOrigin Widgets Bundle <= 1.74.3 - Authenticated (Contributor+) Arbitrary File Read via LESS Injection via [siteorigin_widget] Shortcode 'value' JSON Instance (design.colors LESS Variable)CVE-2026-97348 SiteOrigin Widgets Bundleso-widgets-bundle 中（Medium） CVSS 6.5 あり（1.75.0） 4,338 件 Defiant・MITRE
2026/10/10 Simple Membership <= 4.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Country FieldCVE-2026-103427 Simple Membershipsimple-membership 中（Medium） CVSS 6.4 あり（4.8.5） 794 件 Defiant・MITRE
2026/10/10 LazyLoad Plugin <= 2.4.0 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-100196 LazyLoad Pluginrocket-lazy-load 高（High） CVSS 7.2 あり（2.4.1） 991 件 Defiant・MITRE
2026/10/10 Responsive Lightbox & Gallery <= 2.7.9 - Authenticated (Editor+) Stored Cross-Site Scripting via Comment Content 'title' AttributeCVE-2026-103897 Responsive Lightbox & Galleryresponsive-lightbox 中（Medium） CVSS 4.4 あり（2.7.10） 3,796 件 Defiant・MITRE
2026/10/10 Quiz and Survey Master (QSM) <= 11.2.6 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'qsm_hidden_questions' ParameterCVE-2026-96558 Quiz and Survey Masterquiz-master-next 高（High） CVSS 7.2 あり（11.2.7） 214 件 Defiant・MITRE
2026/10/10 Presto Player <= 4.5.1 - Unauthenticated Stored Cross-Site Scripting via Comment Content via <presto-player> TagCVE-2026-96682 Presto Playerpresto-player 高（High） CVSS 7.2 あり（4.5.2） 26 件 Defiant・MITRE
2026/10/10 Smart Popup by Supsystic <= 1.13.2 - Authenticated (Administrator+) SQL Injection via 'sidx' ParameterCVE-2026-104023 Smart Popup by Supsysticpopup-by-supsystic 中（Medium） CVSS 4.9 あり（1.13.3） 10 件未満 Defiant・MITRE
2026/10/10 Simple Newsletter Plugin <= 4.3.10 - Unauthenticated Stored Cross-Site Scripting via Subscriber Custom Field via Manage Preferences Form + Campaign Preview noptin_key PivotCVE-2026-103482 Noptinnewsletter-optin-box 中（Medium） CVSS 5.4 あり（4.4.0） 10 件未満 Defiant・MITRE
2026/10/10 MP3 Audio Player <= 5.14.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesCVE-2026-16776 MP3 Audio Playermp3-music-player-by-sonaar 中（Medium） CVSS 6.4 あり（5.15） 10 件未満 Defiant・MITRE
2026/10/10 LifterLMS <= 10.2.1 - Authenticated (Custom+) PHP Object Injection via 'custom' Lesson DataCVE-2026-104723 LifterLMSlifterlms 高（High） CVSS 8.8 あり（10.3.0） 10 件未満 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.3 - Authenticated (Custom+) Privilege Escalation to 'settings[default_wp_role_for_customer]' ParameterCVE-2026-104766 Appointment Booking Pluginlatepoint 高（High） CVSS 8.8 あり（5.7.4） 20 件 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Unauthorized Booking Creation and Sensitive Information Disclosure via 'params[presets][order_item_id]' ParameterCVE-2026-91050 Appointment Booking Pluginlatepoint 中（Medium） CVSS 4.3 あり（5.7.3） 20 件 Defiant・MITRE
2026/10/10 Kadence Blocks <= 3.7.12 - Authenticated (Author+) Stored Cross-Site Scripting via Block Font Family AttributeCVE-2026-104762 Kadence Blockskadence-blocks 中（Medium） CVSS 6.4 あり（3.7.12.1） 800 件 Defiant・MITRE
2026/10/10 JetFormBuilder <= 3.6.6 - Reflected DOM-Based Cross-Site Scripting via 'query_var' Dynamic Preset via data-jfb-macro / JFB_FIELD:: Macro RendererCVE-2026-103912 JetFormBuilderjetformbuilder 中（Medium） CVSS 4.7 あり（3.6.6.1） 73 件 Defiant・MITRE
2026/10/10 HivePress <= 1.7.31 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Listing Attribute Value in Administrator-configured HTML FormatCVE-2026-103520 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.7.32） 18 件 Defiant・MITRE
2026/10/10 AI Puffer <= 2.4.89 - Missing Authorization to Authenticated (Subscriber+) Semantic Search Settings Modification via ajax_save_semantic_search_settings AJAX actionCVE-2026-104742 AI Puffergpt3-ai-content-generator 低（Low） CVSS 3.1 あり（2.4.90） 19 件 Defiant・MITRE
2026/10/10 AI Puffer <= 2.4.89 - Missing Authorization to Authenticated (Subscriber+) Global Plugin Settings Modification via ajax_save_cpt_indexing_options AJAX EndpointCVE-2026-104741 AI Puffergpt3-ai-content-generator 低（Low） CVSS 3.1 あり（2.4.90） 19 件 Defiant・MITRE
2026/10/10 GiveWP <= 4.17.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via givewp_campaign_grid Shortcode AttributesCVE-2026-97643 GiveWPgive 中（Medium） CVSS 6.4 あり（4.18.0） 31 件 Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.187 - Unauthenticated Local File Inclusion via 'design_type' ParameterCVE-2026-104899 GeoDirectorygeodirectory 高（High） CVSS 8.1 あり（2.8.188） 12 件 Defiant・MITRE
2026/10/10 FV Player 8 <= 8.1.7 - Authenticated (Subscriber+) Arbitrary File Upload via videos[].fv_wp_flowplayer_field_src ParameterCVE-2026-83526 FV Player 8fv-player 高（High） CVSS 8.8 あり（8.1.8） 10 件未満 Defiant・MITRE
2026/10/10 Getwid <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'data-image-points'CVE-2026-91862 Getwidgetwid 中（Medium） CVSS 6.4 あり（3.0.2） 162 件 Defiant・MITRE
2026/10/10 Embed Any Document <= 2.7.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'embeddoc' ShortcodeCVE-2026-18558 Embed Any Documentembed-any-document 中（Medium） CVSS 6.4 あり（2.7.14） 177 件 Defiant・MITRE
2026/10/10 Booking Calendar <= 11.4.3 - Unauthenticated Sensitive Information Exposure in 'WPBC_FLEXTIMELINE_NAV' AJAX ActionCVE-2026-18496 Booking Calendarbooking 中（Medium） CVSS 5.3 あり（11.5） 15 件 Defiant・MITRE
2026/10/10 Brizy <= 2.8.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'brizy-compiled-sections' Post MetaCVE-2026-14882 Brizybrizy 中（Medium） CVSS 6.4 あり（2.8.19） 89 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.12.03 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table 'id' HTML AttributeCVE-2026-14877 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.12.04） 144 件 Defiant・MITRE
2026/10/10 GamiPress <= 7.9.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'video_id' ParameterCVE-2026-14379 GamiPressgamipress 中（Medium） CVSS 6.4 あり（7.9.5） 10 件 Defiant・MITRE
2026/10/10 Easy Digital Downloads <= 3.6.9 - Unauthenticated Stored Cross-Site Scripting via PayPal IPN ParametersCVE-2026-14335 Easy Digital Downloadseasy-digital-downloads 高（High） CVSS 7.2 あり（3.6.9.1） 61 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.57 - Unauthenticated DOM-Based Reflected Cross-Site Scripting via 'REFERRER' ParameterCVE-2026-12054 Download Managerdownload-manager 中（Medium） CVSS 6.1 あり（3.3.58） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.58 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpdm_packages ShortcodeCVE-2026-9696 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.59） 2,334 件 Defiant・MITRE
2026/10/10 Appointment Booking Calendar <= 1.6.11.11 - Incorrect Authorization to Unauthenticated Sensitive Field Modification via Appointment Public TokenCVE-2026-6723 Simply Schedule Appointmentssimply-schedule-appointments 中（Medium） CVSS 5.3 あり（1.6.12.0） 17 件 Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.188 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Contact Email Custom FieldCVE-2026-104993 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.189） 12 件 Defiant・MITRE
2026/10/10 Avada (Fusion) Builder <= 3.16.1 - Unauthenticated Arbitrary WordPress Action Invocation via '{action_hook}' Dynamic-Data Token in Form FieldCVE-2026-97670 Avadafusion-builder 緊急（Critical） CVSS 9.1 あり（3.16.2） 227 件 Defiant・MITRE
2026/10/10 Hello Plus <= 1.7.7 - Authenticated (Contributor+) Missing Authorization to Template Activation via hello_plus_set_as_entire_siteCVE-2026-5727 Hello Plushello-plus 中（Medium） CVSS 5.4 あり（1.7.8） 10 件未満 Defiant・MITRE
2026/10/10 Form Maker by 10Web <= 1.15.48 - Reflected Cross-Site Scripting via 'inputs' Parameter Array KeyCVE-2026-103998 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.49） 11 件 Defiant・MITRE
2026/10/10 Fluent Forms <= 6.2.14 - Reflected Cross-Site Scripting via '{get.*}' Editor SmartCode ParameterCVE-2026-101324 Fluent Formsfluentform 中（Medium） CVSS 4.7 あり（6.2.15） 671 件 Defiant・MITRE
2026/10/10 FireBox <= 3.1.13 - Authenticated (Author+) SQL Injection via FireBox Form Display ConditionCVE-2026-104724 FireBoxfirebox 中（Medium） CVSS 5.3 あり（3.1.14） 10 件未満 Defiant・MITRE
2026/10/10 Filter Everything — WordPress & WooCommerce Filters <= 1.9.6 - Reflected Cross-Site Scripting via Elementor Posts Widget Pagination URLCVE-2026-87869 Filter Everythingfilter-everything 中（Medium） CVSS 6.1 あり（1.9.7） 14 件 Defiant・MITRE
2026/10/10 RSS Aggregator by Feedzy <= 5.2.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via Feedzy Loop Block Feed URL / RSS <title>CVE-2026-104735 RSS Aggregator by Feedzyfeedzy-rss-feeds 中（Medium） CVSS 6.4 あり（5.2.11） 451 件 Defiant・MITRE
2026/10/10 Anti-Spam by CleanTalk <= 6.88 - Unauthenticated Stored Cross-Site Scripting via Comment Content via ContactsEncoder Greedy RegexCVE-2026-103424 Spam protection, AntiSpam, FireWall by …cleantalk-spam-protect 中（Medium） CVSS 5.4 あり（6.89） 138 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Subscriber+) Sensitive Information Exposure via Email Template Token Injection in 'first_name' Profile Field Token Injection into Suspension EmailCVE-2026-103964 Download Managerdownload-manager 中（Medium） CVSS 4.3 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'regurl' Shortcode AttributeCVE-2026-102401 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.15.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Table Cell 'data' Value via updateRows ActionCVE-2026-96648 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.15.3） 144 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use