WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月20日〜2026年10月18日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「高」：1,225 件（1／25ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/17 European VAT Compliance Assistant for WooCommerce <= 1.36.10 - Unauthenticated Stored Cross-Site Scripting via CF-IPCountry HeaderCVE-2026-100316 European VAT Compliance Assistant for W…woocommerce-eu-vat-compliance 高（High） CVSS 7.2 あり（1.36.11） 確認できず Defiant・MITRE
2026/10/17 Payment forms, Buy now buttons, and Invoicing System | GetPaid <= 2.8.61 - Unauthenticated Stored Cross-Site Scripting via 'mmdwqzpoxadd' ParameterCVE-2026-111110 Payment forms, Buy now buttons, and Inv…invoicing 高（High） CVSS 7.2 あり（2.8.62） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Referer Header via 'referrer_url' Smart TagCVE-2026-92798 User Registration & Membershipuser-registration 高（High） CVSS 8.1 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Unauthenticated Stored Cross-Site Scripting via Checkbox Field ValueCVE-2026-96660 User Registration & Membershipuser-registration 高（High） CVSS 7.2 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'wpbs_action=email_logs' ActionCVE-2026-108123 WP Booking Systemwp-booking-system 高（High） CVSS 7.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 EU VAT Assistant for WooCommerce <= 2.1.30.260413 - Unauthenticated Stored Cross-Site Scripting via 'vat_number' ParameterCVE-2026-103899 EU VAT Assistant for WooCommercewoocommerce-eu-vat-assistant 高（High） CVSS 7.2 あり（2.2.0） 確認できず Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Unauthenticated Stored Cross-Site Scripting via 'quantity' and 'order_comments' ParametersCVE-2026-109208 LearnPresslearnpress 高（High） CVSS 7.2 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Exposure via Context Smuggling via 'context' ParameterCVE-2026-107762 Kirkikirki 高（High） CVSS 7.5 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Authenticated (Administrator+) PHP Object Injection via Deserialization of Untrusted Input via ZIP Template ImportCVE-2026-104734 Kirkikirki 高（High） CVSS 7.2 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 WP Sessions Time Monitoring Full Automatic <= 1.1.5 - Unauthenticated Stored Cross-Site Scripting via 'action' GET ParameterCVE-2026-107648 WP Sessions Time Monitoring Full Automa…activitytime 高（High） CVSS 7.2 あり（1.1.6） 確認できず Defiant・MITRE
2026/10/16 GoSMTP Pro <= 1.2.3 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Email Log BodyCVE-2026-96768 GoSMTP Progosmtp-pro 高（High） CVSS 7.2 あり（1.2.4） 確認できず Defiant・MITRE
2026/10/16 DoubleScale | All-in-One CRM <= 1.5.1 - Authenticated (Subscriber+) Arbitrary File Upload via Portal 'ticketless' Attachment EndpointCVE-2026-111311 DoubleScale CRMdoublescale 高（High） CVSS 8.8 あり（1.6.0） 確認できず Defiant・MITRE
2026/10/16 SureCart <= 4.9.4 - Unauthenticated Stored Cross-Site Scripting via sc-cart-loader 'template' Attribute in CommentCVE-2026-109224 SureCartsurecart 高（High） CVSS 7.2 あり（4.9.5） 20 件 Defiant・MITRE
2026/10/16 Vitepos <= 3.5.1 - Unauthenticated SQL Injection via 'src_by' ParameterCVE-2026-92766 Viteposvitepos-lite 高（High） CVSS 7.5 あり（3.6.0） 確認できず Defiant・MITRE
2026/10/16 User Registration PRO <= 6.2.9 - Unauthenticated Stored Cross-Site Scripting via HTTP Referer HeaderCVE-2026-87111 User Registration PROuser-registration-pro 高（High） CVSS 7.2 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Vulnity Security <= 1.4.3 - Unauthenticated Authentication Bypass to Administrator via Exposed Pairing CredentialsCVE-2026-75903 Vulnity Securityvulnity 高（High） CVSS 8.1 あり（1.4.4） 確認できず Defiant・MITRE
2026/10/16 TranslatePress <= 3.3.7 - Unauthenticated Stored Cross-Site Scripting via Comment Anchor href with trp-gettext/TRPLINKPROCESSED MarkersCVE-2026-107768 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.2 あり（3.3.8） 938 件 Defiant・MITRE
2026/10/16 CP Multi View Events Calendar <= 1.4.42 - Unauthenticated Stored Cross-Site Scripting via 'CalendarTitle' ParameterCVE-2026-110701 CP Multi View Events Calendarcp-multi-view-calendar 高（High） CVSS 7.2 あり（1.4.43） 確認できず Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Unauthenticated Stored Cross-Site Scripting via Custom User Attribute ValueCVE-2026-109193 HivePresshivepress 高（High） CVSS 7.2 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 YaySMTP <= 2.7.7 - Authenticated (Subscriber+) Arbitrary File Upload via Attachment Filename ExtensionCVE-2026-92553 YaySMTPyaysmtp 高（High） CVSS 8.8 あり（2.7.8） 確認できず Defiant・MITRE
2026/10/16 WPConsent <= 1.1.9 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Simple HTML DOM Parser Noise-Key Restoration (mXSS)CVE-2026-97640 WPConsentwpconsent-cookies-banner-privacy-suite 高（High） CVSS 7.2 あり（1.2.0） 85 件 Defiant・MITRE
2026/10/16 WP Photo Album Plus <= 9.3.02.002 - Authenticated (Custom+) Command Injection via 'value' Parameter (crop item) in update-photo AJAX ActionCVE-2026-92115 WP Photo Album Pluswp-photo-album-plus 高（High） CVSS 8.8 あり（9.3.02.003） 18 件 Defiant・MITRE
2026/10/16 Ultra Addons for Contact Form 7 <= 3.5.54 - Unauthenticated Stored Cross-Site Scripting via File UploadCVE-2026-103999 Ultra Addons for Contact Form 7ultimate-addons-for-contact-form-7 高（High） CVSS 7.2 あり（3.5.55） 52 件 Defiant・MITRE
2026/10/16 Search Regex 3.5 - Authenticated (Subscriber+) Remote Code Execution via User Meta Serialized String CorruptionCVE-2026-104932 Search Regexsearch-regex 高（High） CVSS 8.0 あり（3.5.1） 34,483 件 Defiant・MITRE
2026/10/16 10Web Booster <= 2.34.5 - Unauthenticated Limited File Write / Cache Poisoning via Query-string Parameter Traversal in Page-Cache PathCVE-2026-103896 10Web Boostertenweb-speed-optimizer 高（High） CVSS 7.5 あり（2.34.8） 15 件 Defiant・MITRE
2026/10/16 Hide My WP Ghost <= 7.0.12 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-89051 Hide My WP Ghosthide-my-wp 高（High） CVSS 7.2 あり（7.0.13） 確認できず Defiant・MITRE
2026/10/16 SiteOrigin CSS <= 1.6.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Anchor href via Visual InspectorCVE-2026-111122 SiteOrigin CSSso-css 高（High） CVSS 7.2 あり（1.6.8） 確認できず Defiant・MITRE
2026/10/16 SiteOrigin CSS <= 1.6.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Author URL via Inspector href SinkCVE-2026-107764 SiteOrigin CSSso-css 高（High） CVSS 7.2 あり（1.6.8） 確認できず Defiant・MITRE
2026/10/16 Schema & Structured Data for WP & AMP <= 1.67 - Unauthenticated Stored Cross-Site Scripting via 'saswp_review_text' ParameterCVE-2026-96570 Schema & Structured Data for WP & AMPschema-and-structured-data-for-wp 高（High） CVSS 7.2 あり（1.68） 891 件 Defiant・MITRE
2026/10/16 Salon Booking System <= 10.31.9 - Unauthenticated Stored Cross-Site Scripting via Custom Checkout Field (Html/File Type) via Public Booking AJAXCVE-2026-109232 Salon Booking Systemsalon-booking-system 高（High） CVSS 7.2 あり（10.31.10） 12 件 Defiant・MITRE
2026/10/16 Simply Schedule Appointments <= 1.6.12.35 - Unauthenticated Stored Cross-Site Scripting via 'status' Parameter via /wp-json/ssa/v1/appointments/{id}CVE-2026-104000 Simply Schedule Appointmentssimply-schedule-appointments 高（High） CVSS 7.2 あり（1.6.12.37） 17 件 Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Unauthenticated Privilege Escalation to 'role' Parameter via Legacy Meta-Name Collision on [wppb-register]CVE-2026-109447 User Profile Builderprofile-builder 高（High） CVSS 8.1 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Unauthenticated Stored Cross-Site Scripting via First Name FieldCVE-2026-100186 User Profile Builderprofile-builder 高（High） CVSS 7.2 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 PilotPress <= 2.0.43 - Authenticated (Subscriber+) Privilege Escalation via Account Takeover via 'username' ParameterCVE-2026-85659 PilotPresspilotpress 高（High） CVSS 8.8 あり（2.0.44） 確認できず Defiant・MITRE
2026/10/16 NotificationX <= 3.3.3 - Unauthenticated Stored Cross-Site Scripting via 'name' Parameter via popup-submit REST RouteCVE-2026-109513 NotificationXnotificationx 高（High） CVSS 7.2 あり（3.3.4） 10 件未満 Defiant・MITRE
2026/10/16 Opti-Behavior <= 1.9.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'targetUrl' ParameterCVE-2026-95686 Opti-Behavioropti-behavior 高（High） CVSS 7.2 あり（1.10.0） 確認できず Defiant・MITRE
2026/10/16 Opti-Behavior <= 1.9.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'country_name' Location ParameterCVE-2026-95809 Opti-Behavioropti-behavior 高（High） CVSS 7.2 あり（1.10.0） 確認できず Defiant・MITRE
2026/10/16 Nexter Extension <= 4.7.11 - Authenticated (Subscriber+) Privilege Escalation to 'reset-view' ParameterCVE-2026-111114 Nexter Extensionnexter-extension 高（High） CVSS 7.5 あり（4.7.12） 確認できず Defiant・MITRE
2026/10/16 miniOrange OTP Login, Verification and SMS Notifications <= 5.5.8 - Unauthenticated Authentication Bypass via Delay OTP Grace StateCVE-2026-103895 miniOrange OTP Login, Verification and …miniorange-otp-verification 高（High） CVSS 8.1 あり（5.6.0） 10 件未満 Defiant・MITRE
2026/10/16 Modula Image Gallery <= 3.0.11 - Missing Authorization to Unauthenticated Sensitive Information Exposure via Exposed 'modulaSettings' REST field on the modula-gallery CPTCVE-2026-107659 Modula Image Gallerymodula-best-grid-gallery 高（High） CVSS 7.5 あり（3.0.12） 69 件 Defiant・MITRE
2026/10/16 Mang Board <= 2.4.3 - Unauthenticated Stored Cross-Site Scripting via 'content' Parameter via content_reply AJAXCVE-2026-109998 Mang Boardmangboard 高（High） CVSS 7.2 あり（2.4.4） 10 件未満 Defiant・MITRE
2026/10/16 InstaWP Connect <= 0.1.4.1 - Authenticated (Subscriber+) Privilege Escalation via Role-as-Capability Admin Page and API Key Disclosure via 'instawp_sync_tab_roles' Role-as-Capability SettingCVE-2026-109400 InstaWP Connectinstawp-connect 高（High） CVSS 7.5 あり（0.1.4.2） 確認できず Defiant・MITRE
2026/10/16 Klarna for WooCommerce <= 4.13.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'order-pay' EndpointCVE-2026-110590 Klarna for WooCommerceklarna-payments-for-woocommerce 高（High） CVSS 7.5 あり（4.13.4） 確認できず Defiant・MITRE
2026/10/16 Groundhogg <= 4.9.3 - Authenticated (Sales Representative+) Arbitrary File Deletion via CSV Import 'copy_file' Field MappingCVE-2026-109221 Groundhogggroundhogg 高（High） CVSS 8.1 あり（4.9.4） 確認できず Defiant・MITRE
2026/10/16 FunnelKit <= 3.16.0.6 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'order_id' / 'order' POST ParameterCVE-2026-107746 FunnelKitfunnel-builder 高（High） CVSS 7.5 あり（3.17.0） 10 件未満 Defiant・MITRE
2026/10/16 FluentCart A New Era of eCommerce <= 1.7.0 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'order_id' and 'billing_address_id' ParametersCVE-2026-103525 FluentCart A New Era of eCommercefluent-cart 高（High） CVSS 7.5 あり（1.7.1） 10 件未満 Defiant・MITRE
2026/10/16 Flying Scripts: Delay JavaScript to Improve Site Speed & Performance <= 1.2.4 - Unauthenticated Stored Cross-Site Scripting via Comment ContentCVE-2026-109990 Flying Scriptsflying-scripts 高（High） CVSS 7.2 あり（1.2.5） 確認できず Defiant・MITRE
2026/10/16 RSS Aggregator by Feedzy <= 5.2.11 - Unauthenticated Stored Cross-Site Scripting via RSS media:thumbnail URLCVE-2026-109207 RSS Aggregator by Feedzyfeedzy-rss-feeds 高（High） CVSS 7.2 あり（5.2.12） 451 件 Defiant・MITRE
2026/10/16 Customer Email Verification for WooCommerce <= 3.3.0 - Unauthenticated Privilege Escalation to 'alg_wc_ev_verify_email' ParameterCVE-2026-104745 Customer Email Verification for WooComm…emails-verification-for-woocommerce 高（High） CVSS 8.1 あり（3.3.1） 確認できず Defiant・MITRE
2026/10/16 Complianz GDPR/CCPA Cookie Consent Banner <= 7.5.5 - Unauthenticated Stored Cross-Site Scripting via Comment Content via yotu-wp Cookie-Blocker FilterCVE-2026-97339 Complianz GDPR/CCPA Cookie Consent Bann…complianz-gdpr 高（High） CVSS 7.2 あり（7.5.6） 985 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use