WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,235 件（56／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/8/25 CMP – Coming Soon & Maintenance Plugin by NiteoThemes < 4.1.18 - Authenticated (Editor+) Stored Cross-Site ScriptingCVE-2026-13416 CMPcmp-coming-soon-maintenance 中（Medium） CVSS 4.4 あり（4.1.18） 10 件未満 Defiant・MITRE
2026/8/25 Geo Controller <= 8.9.8 - Unauthenticated PHP Object InjectionCVE-2026-78286 Geo Controllercf-geoplugin 高（High） CVSS 8.1 あり（8.9.9） 確認できず Defiant・MITRE
2026/8/25 Workeera – AI Job Board with Applicant Tracking System (ATS) < 1.0.6 - Authenticated (Subscriber+) Arbitrary File DeletionCVE-2026-77016 Workeeraworkeera-remote-tech-job-board 高（High） CVSS 8.1 あり（1.0.6） 確認できず Defiant・MITRE
2026/8/25 Hash Form – Drag & Drop Form Builder <= 1.4.1 - Unauthenticated PHP Object InjectionCVE-2026-78292 Hash Formhash-form 高（High） CVSS 8.1 あり（1.4.2） 10 件未満 Defiant・MITRE
2026/8/25 LearnPress – Sepay Payment < 4.0.3 - Unauthenticated Information ExposureCVE-2026-78125 LearnPresslearnpress-sepay-payment 中（Medium） CVSS 5.3 あり（4.0.3） 確認できず Defiant・MITRE
2026/8/25 Ultimate Member <= 2.12.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Textarea Profile Field with HTML Support (DOM Gadget via id Attribute)CVE-2026-18547 Ultimate Memberultimate-member 中（Medium） CVSS 6.4 あり（2.13.0） 450 件 Defiant・MITRE
2026/8/25 Media Sweep <= 1.1.3 - Authenticated (Administrator+) SQL Injection via 'fields' ParameterCVE-2026-77824 Media Sweepmedia-sweep 中（Medium） CVSS 4.9 あり（1.1.4） 確認できず Defiant・MITRE
2026/8/25 My Agile Privacy® <= 3.3.6 - Missing Authorization to Unauthenticated Plugin Settings Modification via map_missing_cookie_shield / map_check_consent_mode_status AJAX ActionsCVE-2026-17587 My Agile Privacy®myagileprivacy 中（Medium） CVSS 5.3 あり（3.3.7） 確認できず Defiant・MITRE
2026/8/25 Newsletters <= 4.17 - Missing Authorization to Authenticated (Author+) Arbitrary Modification via 'newsletters_mailinglistsroles' POST ParameterCVE-2026-75908 Newslettersnewsletters-lite 中（Medium） CVSS 4.3 あり（4.18） 10 件未満 Defiant・MITRE
2026/8/25 ShopEngine Elementor WooCommerce Builder Addon <= 4.9.4 - Authenticated (Shop Manager+) Privilege Escalation to WXR Import '<wp_option>' NodesCVE-2026-75971 ShopEngineshopengine 高（High） CVSS 7.2 あり（4.9.5） 13 件 Defiant・MITRE
2026/8/25 All-in-One WP Migration and Backup <= 7.109 - Unauthenticated Second-Order SQL Injection via Archive Restore to Remote Code ExecutionCVE-2026-19949 All-in-One WP Migration and Backupall-in-one-wp-migration 高（High） CVSS 8.8 あり（7.110） 48,351 件 Defiant・MITRE
2026/8/25 eCommerce Product Catalog <= 3.5.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'style' Shortcode AttributeCVE-2026-76128 eCommerce Product Catalogecommerce-product-catalog 中（Medium） CVSS 6.4 あり（3.5.11） 10 件未満 Defiant・MITRE
2026/8/25 MetForm <= 4.1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'mf_form_id' Widget SettingCVE-2026-18100 MetFormmetform 中（Medium） CVSS 6.4 あり（4.1.9） 65 件 Defiant・MITRE
2026/8/25 TranslatePress <= 3.2.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Approved Comment Body in Translation EditorCVE-2026-18512 TranslatePresstranslatepress-multilingual 中（Medium） CVSS 6.4 あり（3.3） 938 件 Defiant・MITRE
2026/8/25 Forminator Forms <= 1.57.0 - Unauthenticated DOM-Based Cross-Site Scripting via 'error_description' ParameterCVE-2026-18328 Forminator Formsforminator 高（High） CVSS 7.2 あり（1.57.0.1） 527 件 Defiant・MITRE
2026/8/25 Forminator Forms <= 1.57.0.2 - Unauthenticated Stored Cross-Site Scripting via Radio Field (Save and Continue Draft)CVE-2026-18323 Forminator Formsforminator 高（High） CVSS 7.2 あり（1.57.0.3） 527 件 Defiant・MITRE
2026/8/25 CM Map Locations <= 2.1.8 - Authenticated (Subscriber+) Arbitrary File Upload via cmloc_route_image_upload AJAX ActionCVE-2026-16601 CM Map Locationscm-map-locations 高（High） CVSS 8.8 あり（2.1.9） 確認できず Defiant・MITRE
2026/8/25 tagDiv Composer <= 5.4.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-12561 tagDiv Composertd-composer 中（Medium） CVSS 6.4 あり（5.4.8） 141 件 Defiant・MITRE
2026/8/25 InfusedWoo Pro <= 5.1.18 - Authenticated (Subscriber+) Privilege Escalation via Password Reset Link DisclosureCVE-2026-19892 InfusedWoo Proinfusedwoopro 高（High） CVSS 8.8 あり（5.1.18） 確認できず Defiant・MITRE
2026/8/24 Gutenverse <= 4.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'titleTag' Block AttributeCVE-2026-19943 Gutenversegutenverse 中（Medium） CVSS 6.4 あり（4.0.3） 11 件 Defiant・MITRE
2026/8/24 FundEngine <= 1.8.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Modification via 'campaign_post' ParameterCVE-2026-75930 FundEnginewp-fundraising-donation 中（Medium） CVSS 4.3 あり（1.8.2） 確認できず Defiant・MITRE
2026/8/24 FundEngine <= 1.8.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'wfp_featured_video_url' ParameterCVE-2026-76063 FundEnginewp-fundraising-donation 中（Medium） CVSS 6.4 あり（1.8.2） 確認できず Defiant・MITRE
2026/8/24 Events Manager <= 7.4.0.1 - Reflected Cross-Site Scripting via 'header_format' ParameterCVE-2026-17089 Events Managerevents-manager 中（Medium） CVSS 6.1 あり（7.4.1） 446 件 Defiant・MITRE
2026/8/24 Events Manager <= 7.3.7.4 - Authenticated (Administrator+) Local File Inclusion via 'dbem_data[updates]' Array KeysCVE-2026-14280 Events Managerevents-manager 中（Medium） CVSS 6.6 あり（7.4） 446 件 Defiant・MITRE
2026/8/24 Events Manager <= 7.4.0 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'status', 'private', and 'private_only' ParametersCVE-2026-10627 Events Managerevents-manager 中（Medium） CVSS 5.3 あり（7.4.1） 446 件 Defiant・MITRE
2026/8/24 Password Protect WordPress Lite <= 1.9.21 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2025-9878 PPWPpassword-protect-page 中（Medium） CVSS 6.4 あり（1.9.22） 10 件未満 Defiant・MITRE
2026/8/24 LearnPress <= 4.4.4 - Missing Authorization to Authenticated (Editor+) Limited Option Update via 'field_name' ParameterCVE-2026-75982 LearnPresslearnpress 中（Medium） CVSS 4.4 あり（4.4.5） 13 件 Defiant・MITRE
2026/8/24 Cozy Blocks <= 2.2.16 - Authenticated (Contributor+) Stored Cross-Site Scripting via cozyHoverEffect Block AttributeCVE-2026-75019 Cozy Blockscozy-addons 中（Medium） CVSS 6.4 あり（2.2.17） 確認できず Defiant・MITRE
2026/8/24 WP Courses LMS <= 3.2.29 - Insecure Direct Object Reference to Authenticated (Custom+) Sensitive Information Disclosure via 'resultID' ParameterCVE-2026-10630 WP Courses LMSwp-courses 中（Medium） CVSS 4.3 あり（3.2.30） 確認できず Defiant・MITRE
2026/8/24 FluentCart A New Era of eCommerce <= 1.6.2 - Authenticated (Custom+) Arbitrary File Deletion via 'file_path' Parameter FluentCart A New Era of eCommercefluent-cart 高（High） CVSS 8.1 あり（1.6.3） 10 件未満 Defiant
2026/8/24 Events Manager <= 7.4.0 - Authenticated (Contributor+) SQL Injection via 'meta_key' Parameter in Event/Location Duplicate ActionCVE-2026-15023 Events Managerevents-manager 中（Medium） CVSS 6.5 あり（7.4.1） 446 件 Defiant・MITRE
2026/8/24 Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker <= 4.0.6 - Unauthenticated PHP Object InjectionCVE-2026-78262 Project Managerwedevs-project-manager 高（High） CVSS 8.1 あり（4.0.7） 10 件未満 Defiant・MITRE
2026/8/24 BetterLinks <= 3.1.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Short URL Creation via create_fbs_link AJAX ActionCVE-2026-19801 BetterLinksbetterlinks 中（Medium） CVSS 4.3 あり（3.1.1） 24 件 Defiant・MITRE
2026/8/24 AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI <= 5.8.3 - Missing AuthorizationCVE-2026-78266 AutomatorWPautomatorwp 中（Medium） CVSS 4.3 あり（5.8.4） 確認できず Defiant・MITRE
2026/8/24 Lead Generation Contact Widget & AI Chatbot: Chat Button, Phone Call, Telegram, Email – SiteLeads <= 1.2.0 - Unauthenticated Information ExposureCVE-2026-78268 Lead Generation Contact Widget & AI Cha…siteleads 中（Medium） CVSS 5.3 あり（1.2.1） 17 件 Defiant・MITRE
2026/8/24 Style Kits for Elementor <= 2.6.5 - Missing AuthorizationCVE-2026-27364 Style Kits for Elementoranalogwp-templates 中（Medium） CVSS 4.3 あり（2.6.6） 確認できず Defiant・MITRE
2026/8/24 Accept Stripe Payments <= 2.1.2 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-78282 Accept Stripe Paymentsstripe-payments 高（High） CVSS 7.2 あり（2.1.3） 248 件 Defiant・MITRE
2026/8/24 TranslatePress – Translate Multilingual sites with AI Translation <= 3.3.2 - Unauthenticated Privilege EscalationCVE-2026-78267 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.3 あり（3.3.3） 938 件 Defiant・MITRE
2026/8/24 Event Tickets and Registration <= 5.29.2.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-78263 Event Tickets and Registrationevent-tickets 高（High） CVSS 7.2 あり（5.29.3） 58 件 Defiant・MITRE
2026/8/24 The Events Calendar <= 6.17.2 - Unauthenticated PHP Object InjectionCVE-2026-78265 The Events Calendarthe-events-calendar 高（High） CVSS 8.1 あり（6.17.3） 930 件 Defiant・MITRE
2026/8/24 ACPT (Premium) <= 2.0.63 - Authenticated (Subscriber+) PHP Object InjectionCVE-2026-32563 ACPTadvanced-custom-post-type 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/8/24 Booking Hub - AI-Powered Scheduling, Reservation and Appointment System for WordPress <= 1.3.0 - Authenticated (Subscriber+) Privilege EscalationCVE-2026-32561 Booking Hubbooking-hub 中（Medium） CVSS 6.3 なし 確認できず Defiant・MITRE
2026/8/24 Boost <= 2.0.4 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-32556 Boostboost 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/8/24 Boost <= 2.0.4 - Unauthenticated SQL InjectionCVE-2026-32555 Boostboost 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/8/24 WooCommerce Product Filter <= 3.1.8 - Unauthenticated SQL InjectionCVE-2026-32554 WooCommerce Product Filterwoofilter-pro 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/8/24 FluentCRM PRO <= 3.1.12 - Authenticated (Subscriber+) Server-Side Request ForgeryCVE-2026-78277 FluentCRM PROfluentcampaign-pro 中（Medium） CVSS 6.4 あり（3.1.13） 確認できず Defiant・MITRE
2026/8/24 Brave Conversion Engine (PRO) <= 0.8.6 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-32476 Brave Conversion Enginebravepopup-pro 高（High） CVSS 7.2 あり（0.8.7） 10 件未満 Defiant・MITRE
2026/8/24 Super Forms – Drag & Drop Form Builder <= 6.3.315 - Unauthenticated Arbitrary File ReadCVE-2026-28167 Super Formssuper-forms 高（High） CVSS 7.5 なし 確認できず Defiant・MITRE
2026/8/24 WordPress & WooCommerce Affiliate Program <= 8.9.1 - Unauthenticated Privilege EscalationCVE-2026-32558 WordPress & WooCommerce Affiliate Progr…wp-wc-affiliate-program 高（High） CVSS 7.3 なし 確認できず Defiant・MITRE
2026/8/24 FluentCRM Pro <= 3.1.12 - Authenticated (Author+) SQL InjectionCVE-2026-78270 FluentCRM Profluentcrm-pro 中（Medium） CVSS 6.5 あり（3.1.13） 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use