WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（75／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/8/1 WooCommerce PayPal Payments <= 3.3.2 - Unauthenticated Sensitive Information DisclosureCVE-2025-14073 WooCommerce PayPal Paymentswoocommerce-paypal-payments 中（Medium） CVSS 5.3 あり（3.4.0） 39 件 Defiant・MITRE
2026/8/1 Powerkit <= 3.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'style' Shortcode AttributeCVE-2026-15644 Powerkitpowerkit 中（Medium） CVSS 6.4 あり（3.1.1） 16 件 Defiant・MITRE
2026/8/1 Fluent Forms <= 6.2.8 - Reflected Cross-Site Scripting via 'param'CVE-2026-17571 Fluent Formsfluentform 中（Medium） CVSS 6.1 あり（6.2.9） 671 件 Defiant・MITRE
2026/8/1 WPvivid <= 0.9.131 - Authenticated (Administrator+) SQL Injection via 'export_data' ParameterCVE-2026-17555 WPvividwpvivid-backuprestore 中（Medium） CVSS 4.9 あり（0.9.132） 確認できず Defiant・MITRE
2026/8/1 RealHomes Memberships <= 3.0.9 - Missing Authorization to Authenticated (Subscriber+) Membership Payment Bypass via 'ims_add_paypal_recurring_membership' AJAX ActionCVE-2026-10782 RealHomes Membershipsinspiry-memberships 中（Medium） CVSS 4.3 あり（3.1.0） 確認できず Defiant・MITRE
2026/8/1 Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary File Write (Zip Slip)CVE-2026-15601 Kirkikirki 中（Medium） CVSS 4.9 あり（6.1.0） 10 件未満 Defiant・MITRE
2026/8/1 Powerkit <= 3.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesCVE-2026-15649 Powerkitpowerkit 中（Medium） CVSS 6.4 あり（3.1.1） 16 件 Defiant・MITRE
2026/8/1 PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key ValidationCVE-2026-18059 PixelYourSitepixelyoursite 中（Medium） CVSS 5.3 あり（11.2.2） 927 件 Defiant・MITRE
2026/8/1 PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key ValidationCVE-2026-18059 PixelYourSite Propixelyoursite-pro 中（Medium） CVSS 5.3 あり（12.6.1） 35 件 Defiant・MITRE
2026/8/1 Payment forms, Buy now buttons, and Invoicing System | GetPaid <= 2.8.56 - Authenticated (Administrator+) Local File Inclusion via Payment Form 'type' Element FieldCVE-2026-17605 Payment forms, Buy now buttons, and Inv…invoicing 中（Medium） CVSS 6.6 あり（2.8.57） 10 件未満 Defiant・MITRE
2026/8/1 NEX-Forms <= 9.2.3 - Authenticated (Admin+) Arbitrary File Deletion via Path Traversal via 'location' ParameterCVE-2026-15450 NEX-Formsnex-forms-express-wp-form-builder 高（High） CVSS 8.1 あり（9.2.4） 確認できず Defiant・MITRE
2026/8/1 MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder <= 4.3.3 - Unauthenticated Stored Cross-Site Scripting via Form Field ValuesCVE-2026-15052 MailChimp Subscribe Form, Optin Builder…mailchimp-subscribe-sm 高（High） CVSS 7.2 あり（4.3.4） 確認できず Defiant・MITRE
2026/8/1 Kali Forms <= 2.4.20 - Unauthenticated Remote Code Execution via 'thisPermalink' Field ParameterCVE-2026-16144 Kali Formskali-forms 高（High） CVSS 8.1 あり（2.4.21） 15 件 Defiant・MITRE
2026/8/1 Kadence Blocks <= 3.7.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Identity Block Inner Image ContentCVE-2026-18062 Kadence Blockskadence-blocks 中（Medium） CVSS 6.4 あり（3.7.8.2） 800 件 Defiant・MITRE
2026/8/1 Kadence Blocks <= 3.7.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'toggleIcon' Block AttributeCVE-2026-18435 Kadence Blockskadence-blocks 中（Medium） CVSS 6.4 あり（3.7.8.1） 800 件 Defiant・MITRE
2026/8/1 Advanced Woo Labels <= 2.48 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'bg_color' ParameterCVE-2026-15662 Advanced Woo Labelsadvanced-woo-labels 中（Medium） CVSS 6.4 あり（2.49） 確認できず Defiant・MITRE
2026/8/1 Icegram Mailer <= 1.0.12 - Authenticated (Administrator+) SQL Injection via 'fields' ParameterCVE-2026-15951 Icegram Mailericegram-mailer 中（Medium） CVSS 4.9 あり（1.0.13） 確認できず Defiant・MITRE
2026/8/1 Icegram Engage <= 3.1.42 - Authenticated (Contributor+) Second-Order SQL Injection via 'messages[][id]' ParameterCVE-2026-16087 Icegram Engageicegram 中（Medium） CVSS 6.5 あり（3.1.43） 13 件 Defiant・MITRE
2026/8/1 Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder <= 1.9.0 - Missing Authorization to Unauthenticated Arbitrary Form Entry Modification/Trash via process_bulk_action()CVE-2026-11995 Gutena Formsgutena-forms 中（Medium） CVSS 5.3 あり（2.0.0） 10 件未満 Defiant・MITRE
2026/8/1 GSheetConnector <= 5.2.1 - Authenticated (Administrator+) SQL Injection via 's' ParameterCVE-2026-16614 GSheetConnectorcf7-google-sheets-connector 中（Medium） CVSS 4.9 あり（5.2.2） 15 件 Defiant・MITRE
2026/8/1 Download Manager <= 3.3.66 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon' Shortcode AttributeCVE-2026-16685 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.67） 2,334 件 Defiant・MITRE
2026/8/1 Cozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'layoutCircle.alignment' Block AttributeCVE-2026-15950 Cozy Blockscozy-addons 中（Medium） CVSS 6.4 あり（2.2.12） 確認できず Defiant・MITRE
2026/8/1 GenerateBlocks <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Dynamic Tag Injection in HTML AttributesCVE-2026-13458 GenerateBlocksgenerateblocks 中（Medium） CVSS 6.4 あり（2.4.0） 238 件 Defiant・MITRE
2026/8/1 GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via gamipress_achievement ShortcodeCVE-2026-16090 GamiPressgamipress 中（Medium） CVSS 6.4 あり（7.9.9.2） 10 件 Defiant・MITRE
2026/8/1 GamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'gamipress_rank' ShortcodeCVE-2026-16091 GamiPressgamipress 中（Medium） CVSS 6.4 あり（7.9.9.2） 10 件 Defiant・MITRE
2026/8/1 Easy Property Listings <= 3.5.24 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'facebook' User Contact MethodCVE-2026-16684 Easy Property Listingseasy-property-listings 中（Medium） CVSS 6.4 あり（3.5.25） 10 件未満 Defiant・MITRE
2026/8/1 Database Collation Fix <= 1.2.10 - Unauthenticated SQL Injection via 'force-collation-algorithm' ParameterCVE-2026-15018 Database Collation Fixdatabase-collation-fix 中（Medium） CVSS 5.3 あり（1.2.11） 確認できず Defiant・MITRE
2026/8/1 Advanced Views <= 3.9.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via 'view-refresh' and 'card-refresh' REST EndpointsCVE-2026-17580 Advanced Viewsacf-views 中（Medium） CVSS 6.5 あり（3.9.2） 確認できず Defiant・MITRE
2026/8/1 AI Engine <= 3.6.5 - Cross-Site Request Forgery to Privilege Escalation via REQUEST_URI Substring MatchCVE-2026-15988 AI Engineai-engine 高（High） CVSS 8.8 あり（3.6.6） 436 件 Defiant・MITRE
2026/8/1 Jeg Kit for Elementor <= 3.1.1 - Authenticated (Contributor+) Exposure of Sensitive Information via 'JkitDashboardOption' Inline ScriptCVE-2026-2916 Jeg Kit for Elementorjeg-elementor-kit 中（Medium） CVSS 4.3 あり（3.1.2） 68 件 Defiant・MITRE
2026/8/1 Theme Editor <= 3.1 - Cross-Site Request Forgery to CSS ModificationCVE-2025-14469 Theme Editortheme-editor 中（Medium） CVSS 4.3 あり（3.2） 確認できず Defiant・MITRE
2026/8/1 FormGent <= 1.9.2- Missing Authorization to Unauthenticated Arbitrary File Deletion via 'file_token' ParameterCVE-2026-3141 FormGentformgent 緊急（Critical） CVSS 9.1 あり（1.10.0） 確認できず Defiant・MITRE
2026/7/31 Pinpoint Booking System <= 2.9.9.6.9 - Authenticated (Administrator+) SQL Injection via 'field' ParameterCVE-2026-15403 Pinpoint Booking Systembooking-system 中（Medium） CVSS 4.9 あり（2.9.9.7.0） 36 件 Defiant・MITRE
2026/7/31 SureForms <= 2.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'headingWrapper' Block AttributeCVE-2026-7623 SureFormssureforms 中（Medium） CVSS 6.4 あり（2.8.2） 13 件 Defiant・MITRE
2026/7/31 Bit integrations <= 2.9.0 - Unauthenticated Arbitrary File Read via Optional CF7 File FieldCVE-2026-15006 Bit integrationsbit-integrations 高（High） CVSS 7.5 あり（2.9.1） 確認できず Defiant・MITRE
2026/7/31 Subscriptions for WooCommerce <= 2.0.0 - Authenticated (Contributor+) Privilege Escalation via '_wps_plan_user_role' Membership Plan MetaCVE-2026-15414 Subscriptions for WooCommercesubscriptions-for-woocommerce 高（High） CVSS 8.8 あり（2.0.1） 10 件未満 Defiant・MITRE
2026/7/31 SendPulse Email Marketing Newsletter <= 2.2.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via _sp_form_code Post MetaCVE-2026-13362 SendPulse Email Marketing Newslettersendpulse-email-marketing-newsletter 中（Medium） CVSS 6.4 あり（2.2.6） 確認できず Defiant・MITRE
2026/7/31 EONSR AEO Agent <= 3.7.9 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-11588 EONSR AEO Agenteonsr-aeo-agent 高（High） CVSS 7.2 なし 確認できず Defiant・MITRE
2026/7/31 Welcart e-Commerce <= 2.11.31 - Authenticated (Editor+) SQL InjectionCVE-2026-16065 Welcart e-Commerceusc-e-shop 中（Medium） CVSS 4.9 あり（2.11.32） 2,863 件 Defiant・MITRE
2026/7/31 Meta for WooCommerce <= 3.7.5 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-66707 Meta for WooCommercefacebook-for-woocommerce 高（High） CVSS 7.2 あり（3.7.6） 94 件 Defiant・MITRE
2026/7/31 MasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.39 - Missing AuthorizationCVE-2026-28145 MasterStudy LMS WordPress Pluginmasterstudy-lms-learning-management-system 中（Medium） CVSS 5.3 あり（3.7.40） 10 件未満 Defiant・MITRE
2026/7/31 WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters <= 4.9.6 - Authenticated (Subscriber+) Information ExposureCVE-2026-28144 WP Mapswp-google-map-plugin 中（Medium） CVSS 4.3 あり（4.9.7） 40 件 Defiant・MITRE
2026/7/31 User Profile Picture <= 2.6.3 - Authenticated (Author+) Insecure Direct Object ReferenceCVE-2026-61971 User Profile Picturemetronet-profile-picture 中（Medium） CVSS 4.3 あり（2.6.4） 66 件 Defiant・MITRE
2026/7/31 Powerkit <= 3.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'nav' Shortcode AttributeCVE-2026-15645 Powerkitpowerkit 中（Medium） CVSS 6.4 あり（3.1.1） 16 件 Defiant・MITRE
2026/7/31 W3 Total Cache <= 2.10.2 - Unauthenticated Path TraversalCVE-2026-66695 W3 Total Cachew3-total-cache 中（Medium） CVSS 5.3 あり（2.10.3） 411 件 Defiant・MITRE
2026/7/31 WPML Multilingual & Multicurrency for WooCommerce <= 5.5.6 - Authenticated (Subscriber+) Stored Cross-Site ScriptingCVE-2026-66711 WPML Multilingual & Multicurrency for W…woocommerce-multilingual 中（Medium） CVSS 6.4 あり（5.5.7） 60 件 Defiant・MITRE
2026/7/31 GiveWP – Donation Plugin and Fundraising Platform <= 4.16.5 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-66690 GiveWPgive 高（High） CVSS 7.2 あり（4.16.5.1） 31 件 Defiant・MITRE
2026/7/31 Rank Math SEO – AI SEO Tools to Dominate SEO Rankings <= 1.0.274.1 - Unauthenticated Stored Cross-Site ScriptingCVE-2026-66702 Rank Math SEOseo-by-rank-math 高（High） CVSS 7.2 あり（1.0.275） 3,923 件 Defiant・MITRE
2026/7/31 Child Pages Card <= 1.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-18395 Child Pages Cardchild-pages-card 中（Medium） CVSS 6.4 あり（1.09） 10 件未満 Defiant・MITRE
2026/7/31 Checkimate <= 1.0.13 - Missing Authorization to Unauthenticated License DeactivationCVE-2026-14829 Checkimatecheckimate 中（Medium） CVSS 5.3 なし 確認できず Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use