WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度：4,232 件（8／85ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/10 Post Export Import with Media <= 1.17.1 - Authenticated (Administrator+) Path Traversal to Arbitrary File Read via 'file_path' Parameter in media_metadata.jsonCVE-2026-104763 Post Export Import with Mediapost-export-import-with-media 中（Medium） CVSS 4.9 あり（1.17.2） 確認できず Defiant・MITRE
2026/10/10 Smart Popup by Supsystic <= 1.13.2 - Authenticated (Administrator+) SQL Injection via 'sidx' ParameterCVE-2026-104023 Smart Popup by Supsysticpopup-by-supsystic 中（Medium） CVSS 4.9 あり（1.13.3） 10 件未満 Defiant・MITRE
2026/10/10 Podlove Podcast Publisher <= 4.5.6 - Unauthenticated Stored Cross-Site Scripting via Auphonic WebhookCVE-2026-93775 Podlove Podcast Publisherpodlove-podcasting-plugin-for-wordpress 高（High） CVSS 7.2 あり（4.5.7） 確認できず Defiant・MITRE
2026/10/10 Order Export & Order Import for WooCommerce <= 2.7.8 - Unauthenticated Sensitive File Exposure via Missing Directory Guard Re-verification in get_file_path()CVE-2026-94375 Order Export & Order Import for WooComm…order-import-export-for-woocommerce 中（Medium） CVSS 5.3 あり（2.7.9） 確認できず Defiant・MITRE
2026/10/10 Simple Newsletter Plugin <= 4.3.10 - Unauthenticated Stored Cross-Site Scripting via Subscriber Custom Field via Manage Preferences Form + Campaign Preview noptin_key PivotCVE-2026-103482 Noptinnewsletter-optin-box 中（Medium） CVSS 5.4 あり（4.4.0） 10 件未満 Defiant・MITRE
2026/10/10 Music Store <= 1.4.7 - Unauthenticated Arbitrary File Read via 'f' Parameter Music Storemusic-store 高（High） CVSS 7.5 あり（1.4.8） 確認できず Defiant
2026/10/10 MP3 Audio Player <= 5.14.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesCVE-2026-16776 MP3 Audio Playermp3-music-player-by-sonaar 中（Medium） CVSS 6.4 あり（5.15） 10 件未満 Defiant・MITRE
2026/10/10 LifterLMS <= 10.2.1 - Authenticated (Custom+) PHP Object Injection via 'custom' Lesson DataCVE-2026-104723 LifterLMSlifterlms 高（High） CVSS 8.8 あり（10.3.0） 10 件未満 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.3 - Authenticated (Custom+) Privilege Escalation to 'settings[default_wp_role_for_customer]' ParameterCVE-2026-104766 Appointment Booking Pluginlatepoint 高（High） CVSS 8.8 あり（5.7.4） 20 件 Defiant・MITRE
2026/10/10 Appointment Booking Plugin <= 5.7.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Unauthorized Booking Creation and Sensitive Information Disclosure via 'params[presets][order_item_id]' ParameterCVE-2026-91050 Appointment Booking Pluginlatepoint 中（Medium） CVSS 4.3 あり（5.7.3） 20 件 Defiant・MITRE
2026/10/10 Kadence Blocks <= 3.7.12 - Authenticated (Author+) Stored Cross-Site Scripting via Block Font Family AttributeCVE-2026-104762 Kadence Blockskadence-blocks 中（Medium） CVSS 6.4 あり（3.7.12.1） 800 件 Defiant・MITRE
2026/10/10 JetFormBuilder <= 3.6.6 - Reflected DOM-Based Cross-Site Scripting via 'query_var' Dynamic Preset via data-jfb-macro / JFB_FIELD:: Macro RendererCVE-2026-103912 JetFormBuilderjetformbuilder 中（Medium） CVSS 4.7 あり（3.6.6.1） 73 件 Defiant・MITRE
2026/10/10 HivePress <= 1.7.31 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Listing Attribute Value in Administrator-configured HTML FormatCVE-2026-103520 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.7.32） 18 件 Defiant・MITRE
2026/10/10 Groundhogg <= 4.8.3 - Unauthenticated Privilege Escalation to Support User Identity ConfusionCVE-2026-92975 Groundhogggroundhogg 高（High） CVSS 8.1 あり（4.9） 確認できず Defiant・MITRE
2026/10/10 Groundhogg <= 4.9 - Authenticated (Custom+) Privilege Escalation to 'user' ParameterCVE-2026-104725 Groundhogggroundhogg 高（High） CVSS 8.8 あり（4.9.1） 確認できず Defiant・MITRE
2026/10/10 AI Puffer <= 2.4.89 - Missing Authorization to Authenticated (Subscriber+) Semantic Search Settings Modification via ajax_save_semantic_search_settings AJAX actionCVE-2026-104742 AI Puffergpt3-ai-content-generator 低（Low） CVSS 3.1 あり（2.4.90） 19 件 Defiant・MITRE
2026/10/10 AI Puffer <= 2.4.89 - Missing Authorization to Authenticated (Subscriber+) Global Plugin Settings Modification via ajax_save_cpt_indexing_options AJAX EndpointCVE-2026-104741 AI Puffergpt3-ai-content-generator 低（Low） CVSS 3.1 あり（2.4.90） 19 件 Defiant・MITRE
2026/10/10 GiveWP <= 4.17.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via givewp_campaign_grid Shortcode AttributesCVE-2026-97643 GiveWPgive 中（Medium） CVSS 6.4 あり（4.18.0） 31 件 Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.187 - Unauthenticated Local File Inclusion via 'design_type' ParameterCVE-2026-104899 GeoDirectorygeodirectory 高（High） CVSS 8.1 あり（2.8.188） 12 件 Defiant・MITRE
2026/10/10 FV Player 8 <= 8.1.7 - Authenticated (Subscriber+) Arbitrary File Upload via videos[].fv_wp_flowplayer_field_src ParameterCVE-2026-83526 FV Player 8fv-player 高（High） CVSS 8.8 あり（8.1.8） 10 件未満 Defiant・MITRE
2026/10/10 FooSales <= 1.43.0 - Authenticated (Custom+) Privilege Escalation via create_update_customer REST EndpointCVE-2026-77183 FooSalesfoosales 高（High） CVSS 8.8 あり（1.43.1） 確認できず Defiant・MITRE
2026/10/10 Church Admin <= 5.1.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'email' ParameterCVE-2026-94421 Church Adminchurch-admin 中（Medium） CVSS 6.4 あり（5.1.3） 確認できず Defiant・MITRE
2026/10/10 Getwid <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'data-image-points'CVE-2026-91862 Getwidgetwid 中（Medium） CVSS 6.4 あり（3.0.2） 162 件 Defiant・MITRE
2026/10/10 Table Field Add-on for ACF and SCF <= 1.3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table Cell ContentCVE-2026-78068 Table Field Add-on for ACF and SCFadvanced-custom-fields-table-field 中（Medium） CVSS 6.4 あり（1.3.40） 確認できず Defiant・MITRE
2026/10/10 Embed Any Document <= 2.7.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'embeddoc' ShortcodeCVE-2026-18558 Embed Any Documentembed-any-document 中（Medium） CVSS 6.4 あり（2.7.14） 177 件 Defiant・MITRE
2026/10/10 Booking Calendar <= 11.4.3 - Unauthenticated Sensitive Information Exposure in 'WPBC_FLEXTIMELINE_NAV' AJAX ActionCVE-2026-18496 Booking Calendarbooking 中（Medium） CVSS 5.3 あり（11.5） 15 件 Defiant・MITRE
2026/10/10 Real Estate Manager <= 7.3 - Unauthenticated Stored Cross-Site Scripting via 'first_name' ParameterCVE-2026-96667 Real Estate Managerreal-estate-manager 高（High） CVSS 7.2 あり（7.4） 確認できず Defiant・MITRE
2026/10/10 Brizy <= 2.8.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'brizy-compiled-sections' Post MetaCVE-2026-14882 Brizybrizy 中（Medium） CVSS 6.4 あり（2.8.19） 89 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.12.03 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table 'id' HTML AttributeCVE-2026-14877 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.12.04） 144 件 Defiant・MITRE
2026/10/10 GamiPress <= 7.9.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'video_id' ParameterCVE-2026-14379 GamiPressgamipress 中（Medium） CVSS 6.4 あり（7.9.5） 10 件 Defiant・MITRE
2026/10/10 Easy Digital Downloads <= 3.6.9 - Unauthenticated Stored Cross-Site Scripting via PayPal IPN ParametersCVE-2026-14335 Easy Digital Downloadseasy-digital-downloads 高（High） CVSS 7.2 あり（3.6.9.1） 61 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.57 - Unauthenticated DOM-Based Reflected Cross-Site Scripting via 'REFERRER' ParameterCVE-2026-12054 Download Managerdownload-manager 中（Medium） CVSS 6.1 あり（3.3.58） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.58 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpdm_packages ShortcodeCVE-2026-9696 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.59） 2,334 件 Defiant・MITRE
2026/10/10 Appointment Booking Calendar <= 1.6.11.11 - Incorrect Authorization to Unauthenticated Sensitive Field Modification via Appointment Public TokenCVE-2026-6723 Simply Schedule Appointmentssimply-schedule-appointments 中（Medium） CVSS 5.3 あり（1.6.12.0） 17 件 Defiant・MITRE
2026/10/10 GeoDirectory <= 2.8.188 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Contact Email Custom FieldCVE-2026-104993 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.189） 12 件 Defiant・MITRE
2026/10/10 Avada (Fusion) Builder <= 3.16.1 - Unauthenticated Arbitrary WordPress Action Invocation via '{action_hook}' Dynamic-Data Token in Form FieldCVE-2026-97670 Avadafusion-builder 緊急（Critical） CVSS 9.1 あり（3.16.2） 227 件 Defiant・MITRE
2026/10/10 Hello Plus <= 1.7.7 - Authenticated (Contributor+) Missing Authorization to Template Activation via hello_plus_set_as_entire_siteCVE-2026-5727 Hello Plushello-plus 中（Medium） CVSS 5.4 あり（1.7.8） 10 件未満 Defiant・MITRE
2026/10/10 FV Flowplayer Video Player <= 7.5.54.7212 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Unquoted popup Shortcode AttributeCVE-2026-97630 FV Flowplayer Video Playerfv-wordpress-flowplayer 中（Medium） CVSS 6.4 あり（7.5.55.7212） 確認できず Defiant・MITRE
2026/10/10 Form Maker by 10Web <= 1.15.48 - Reflected Cross-Site Scripting via 'inputs' Parameter Array KeyCVE-2026-103998 Form Maker by 10Webform-maker 中（Medium） CVSS 6.1 あり（1.15.49） 11 件 Defiant・MITRE
2026/10/10 Fluent Forms <= 6.2.14 - Reflected Cross-Site Scripting via '{get.*}' Editor SmartCode ParameterCVE-2026-101324 Fluent Formsfluentform 中（Medium） CVSS 4.7 あり（6.2.15） 671 件 Defiant・MITRE
2026/10/10 FireBox <= 3.1.13 - Authenticated (Author+) SQL Injection via FireBox Form Display ConditionCVE-2026-104724 FireBoxfirebox 中（Medium） CVSS 5.3 あり（3.1.14） 10 件未満 Defiant・MITRE
2026/10/10 Filter Everything — WordPress & WooCommerce Filters <= 1.9.6 - Reflected Cross-Site Scripting via Elementor Posts Widget Pagination URLCVE-2026-87869 Filter Everythingfilter-everything 中（Medium） CVSS 6.1 あり（1.9.7） 14 件 Defiant・MITRE
2026/10/10 RSS Aggregator by Feedzy <= 5.2.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via Feedzy Loop Block Feed URL / RSS <title>CVE-2026-104735 RSS Aggregator by Feedzyfeedzy-rss-feeds 中（Medium） CVSS 6.4 あり（5.2.11） 451 件 Defiant・MITRE
2026/10/10 Fastcache by Host.it <= 1.7.4 - Authenticated (Administrator+) Code Injection via .htaccess Directive Injection via 'cache_cookie_exclude' SettingCVE-2026-104021 Fastcache by Host.itfastcache-by-host-it 高（High） CVSS 7.2 あり（1.7.5） 確認できず Defiant・MITRE
2026/10/10 3D Product configurator for WooCommerce <= 2.16.2 - Unauthenticated Remote Code Execution via 'xpv_image' ParameterCVE-2026-103889 3D Product configurator for WooCommerceexpivi 緊急（Critical） CVSS 9.8 あり（2.16.3） 確認できず Defiant・MITRE
2026/10/10 Anti-Spam by CleanTalk <= 6.88 - Unauthenticated Stored Cross-Site Scripting via Comment Content via ContactsEncoder Greedy RegexCVE-2026-103424 Spam protection, AntiSpam, FireWall by …cleantalk-spam-protect 中（Medium） CVSS 5.4 あり（6.89） 138 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Subscriber+) Sensitive Information Exposure via Email Template Token Injection in 'first_name' Profile Field Token Injection into Suspension EmailCVE-2026-103964 Download Managerdownload-manager 中（Medium） CVSS 4.3 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Download Manager <= 3.3.71 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'regurl' Shortcode AttributeCVE-2026-102401 Download Managerdownload-manager 中（Medium） CVSS 6.4 あり（3.3.72） 2,334 件 Defiant・MITRE
2026/10/10 Data Tables Generator by Supsystic <= 1.15.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Table Cell 'data' Value via updateRows ActionCVE-2026-96648 Data Tables Generator by Supsysticdata-tables-generator-by-supsystic 中（Medium） CVSS 6.4 あり（1.15.3） 144 件 Defiant・MITRE
2026/10/10 rtMedia for WordPress, BuddyPress and bbPress <= 4.7.13 - Missing Authorization to Unauthenticated Limited File Read/Disclosure and Limited File Deletion via Sideload via 'files[tmp_name]' ParameterCVE-2026-89301 rtMedia for WordPress, BuddyPress and b…buddypress-media 高（High） CVSS 7.5 あり（4.7.14） 10 件未満 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use