WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

深刻度「中」・国内で使われているもの：1,646 件（1／33ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/16 Tutor LMS <= 4.1.0 - Insecure Direct Object Reference to Authenticated (Author+) Arbitrary Course Modification and Ownership Takeover via 'ID' ParameterCVE-2026-92715 Tutor LMStutor 中（Medium） CVSS 4.3 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Cross-Site Request Forgery to trigger_bulk_action()CVE-2026-92978 User Registration & Membershipuser-registration 中（Medium） CVSS 4.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation via 'user_permission' Parameter via Cross-Form Nonce ReuseCVE-2026-109369 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.8 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via wpbs_refresh_calendar_editor AJAX actionCVE-2026-109368 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 Themify Popup <= 1.4.7 - Authenticated (Author+) Stored Cross-Site Scripting via 'popup_width_unit' ParameterCVE-2026-109989 Themify Popupthemify-popup 中（Medium） CVSS 6.4 あり（1.4.8） 10 件未満 Defiant・MITRE
2026/10/16 Themify Builder <= 7.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'visible' Shortcode AttributeCVE-2026-111726 Themify Builderthemify-builder 中（Medium） CVSS 6.4 あり（7.8.3） 17 件 Defiant・MITRE
2026/10/16 Welcart e-Commerce <= 2.12.4 - Authenticated (Editor+) SQL Injection via 'wp_usces_order_old' CookieCVE-2026-107752 Welcart e-Commerceusc-e-shop 中（Medium） CVSS 4.9 あり（2.12.5） 2,863 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Missing Authorization to Authenticated (Subscriber+) Email Address Enumeration via 'search-authors' AJAX ActionCVE-2026-107744 LearnPresslearnpress 中（Medium） CVSS 6.5 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Events Made Easy <= 3.2.22 - Unauthenticated Stored Cross-Site Scripting via 'event[location_name]' ParameterCVE-2026-107649 Events Made Easyevents-made-easy 中（Medium） CVSS 5.4 あり（3.2.23） 10 件未満 Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.191 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'post_content' Parameter via data-embed-url AttributeCVE-2026-110703 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.192） 12 件 Defiant・MITRE
2026/10/16 Name Directory <= 1.34.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'dir' Shortcode AttributeCVE-2026-104726 Name Directoryname-directory 中（Medium） CVSS 6.4 あり（1.34.3） 10 件未満 Defiant・MITRE
2026/10/16 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.5 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Comment Content Rendered on ProfilePress User Profile 'Comments' TabCVE-2026-104003 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 5.4 あり（4.17.6） 3,212 件 Defiant・MITRE
2026/10/16 Tutor LMS <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via display_name ParameterCVE-2026-93681 Tutor LMStutor 中（Medium） CVSS 6.4 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 FiboSearch <= 1.34.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'purchased_plan' ParameterCVE-2026-100106 FiboSearchajax-search-for-woocommerce 中（Medium） CVSS 6.4 あり（1.34.3） 35 件 Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.192 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'twitterusername' Custom FieldCVE-2026-111069 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.193） 12 件 Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'message' Attribute of the hivepress_user_login_form ShortcodeCVE-2026-109388 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 WebberZone Top 10 <= 4.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'other_attributes' Block AttributeCVE-2026-110290 WebberZone Top 10top-10 中（Medium） CVSS 6.4 あり（4.5.3） 313 件 Defiant・MITRE
2026/10/16 Premium Packages <= 7.2.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Order NotesCVE-2026-110664 Premium Packageswpdm-premium-packages 中（Medium） CVSS 6.4 あり（7.3.0） 56 件 Defiant・MITRE
2026/10/16 WP Map Block <= 3.0.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Map Publish/Unpublish/Delete via set_status() and bulk() REST EndpointsCVE-2026-19798 WP Map Blockwp-map-block 中（Medium） CVSS 4.3 あり（3.1.0） 15 件 Defiant・MITRE
2026/10/16 HUSKY <= 1.4.5 - Unauthenticated Sensitive Information Exposure in 'woof_tm_data' Localized ScriptCVE-2026-107646 HUSKYwoocommerce-products-filter 中（Medium） CVSS 5.3 あり（1.4.6） 44 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.1 - Authenticated (Administrator+) SQL Injection via 'orderby' ParameterCVE-2026-111178 WP Booking Systemwp-booking-system 中（Medium） CVSS 4.9 あり（2.1.0.2） 13 件 Defiant・MITRE
2026/10/16 WP Compress <= 7.25.00 - Unauthenticated Privilege Escalation to 'group'/'setting'/'value' Parameters on comms EndpointCVE-2026-104755 WP Compresswp-compress-image-optimizer 中（Medium） CVSS 4.8 あり（7.26.00） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via display_nameCVE-2026-15222 User Registration & Membershipuser-registration 中（Medium） CVSS 5.4 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Comment Content via unfiltered_html Grant to Customer RoleCVE-2026-97470 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode AttributeCVE-2026-103480 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Tainacan <= 1.3.0 - Authenticated (Subscriber+) Path Traversal to Arbitrary File Read via 'guid' ParameterCVE-2026-93767 Tainacantainacan 中（Medium） CVSS 6.5 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/16 SQL Chart Builder <= 3.0.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SQL Chart Label (X-axis) via Stored User FieldCVE-2026-100158 SQL Chart Buildersql-chart-builder 中（Medium） CVSS 6.4 あり（3.0.7） 10 件未満 Defiant・MITRE
2026/10/16 Tutor LMS <= 4.0.8 - Authenticated (Subscriber+) Reflected DOM-Based Cross-Site Scripting via 'redirect_url' ParameterCVE-2026-88963 Tutor LMStutor 中（Medium） CVSS 6.1 あり（4.0.9） 34 件 Defiant・MITRE
2026/10/16 Slim SEO <= 4.11.1 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'Biographical Info' User MetaCVE-2026-104001 Slim SEOslim-seo 中（Medium） CVSS 5.4 あり（4.11.2） 231 件 Defiant・MITRE
2026/10/16 Lightweight Cookie Notice <= 1.19 - Sensitive Information Exposure via W3TC_DYNAMIC_SECURITY ConstantCVE-2026-12272 Lightweight Cookie Noticelightweight-cookie-notice-free 中（Medium） CVSS 5.3 あり（1.20） 10 件未満 Defiant・MITRE
2026/10/16 User Profile Builder <= 4.0.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' ParameterCVE-2026-107748 User Profile Builderprofile-builder 中（Medium） CVSS 6.4 あり（4.0.4） 31 件 Defiant・MITRE
2026/10/16 NotificationX <= 3.3.3 - Missing Authorization to Unauthenticated Arbitrary Content Injection via 'nx_id' Parameter on /popup-submit REST RouteCVE-2026-110721 NotificationXnotificationx 中（Medium） CVSS 5.3 あり（3.3.4） 10 件未満 Defiant・MITRE
2026/10/16 Mang Board <= 2.4.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'content' ParameterCVE-2026-109512 Mang Boardmangboard 中（Medium） CVSS 6.4 あり（2.4.5） 10 件未満 Defiant・MITRE
2026/10/16 Forminator Forms <= 1.58.1 - Unauthenticated Arbitrary Shortcode Execution via 's' Search Parameter and Anonymous Comment via render_blockCVE-2026-103911 Forminator Formsforminator 中（Medium） CVSS 6.5 あり（1.58.2） 527 件 Defiant・MITRE
2026/10/16 Forminator Forms <= 1.58.1 - Unauthenticated Arbitrary Shortcode Execution via 'User-Agent' Header and 'referer_url' Parameter via Quiz Notification Merge TagsCVE-2026-101335 Forminator Formsforminator 中（Medium） CVSS 6.5 あり（1.58.2） 527 件 Defiant・MITRE
2026/10/16 Gwolle Guestbook <= 5.1.1 - Reflected Cross-Site Scripting via 'permalink' ParameterCVE-2026-103481 Gwolle Guestbookgwolle-gb 中（Medium） CVSS 6.1 あり（5.1.2） 10 件未満 Defiant・MITRE
2026/10/16 FluentCart A New Era of eCommerce <= 1.7.0 - Authenticated (Administrator+) SQL Injection via 'products.variants' Array KeysCVE-2026-103518 FluentCart A New Era of eCommercefluent-cart 中（Medium） CVSS 4.9 あり（1.7.1） 10 件未満 Defiant・MITRE
2026/10/16 Dokan: AI Powered WooCommerce Multivendor Marketplace Solution <= 5.2.1 - Insecure Direct Object Reference to Authenticated (Custom+) Limited Account Takeover via 'password' Parameter to /wp-json/dokan/v1/customers/{id}CVE-2026-89280 Dokandokan-lite 中（Medium） CVSS 4.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Debloat <= 1.3.0 - Unauthenticated Arbitrary File Read via 's' Search Parameter via @import url() in Reflected Search-Feed <link>CVE-2026-104769 Debloatdebloat 中（Medium） CVSS 5.9 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/15 WP Dark Mode – Improve Accessibility with AI Powered Dark Theme <= 5.3.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon_light' Shortcode AttributeCVE-2026-93535 Dark Modewp-dark-mode 中（Medium） CVSS 6.4 あり（5.3.18） 69 件 Defiant・MITRE
2026/10/15 Popup Box 6.4.1 - 6.4.2 - Unauthenticated Arbitrary Shortcode Execution via Client-IP / X-Forwarded-For HTTP HeadersCVE-2026-100159 Popup Boxays-popup-box 中（Medium） CVSS 4.8 あり（6.4.3） 63 件 Defiant・MITRE
2026/10/15 Cooked <= 1.16.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via [cooked-timer] Shortcode ContentCVE-2026-77829 Cookedcooked 中（Medium） CVSS 6.4 あり（1.16.2） 13 件 Defiant・MITRE
2026/10/15 Elementor Website Builder <= 4.2.3 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Exposure via 'is_public' and 'keys_conversion_map' ParametersCVE-2026-11905 Elementor Website Builderelementor 中（Medium） CVSS 4.3 あり（4.2.4） 15,288 件 Defiant・MITRE
2026/10/15 Ocean Extra <= 2.6.0 - Unauthenticated Arbitrary Shortcode Execution via 'oceanwp_library' Shortcode TemplateCVE-2026-86803 Ocean Extraocean-extra 中（Medium） CVSS 6.5 あり（2.6.1） 298 件 Defiant・MITRE
2026/10/15 VK Blocks <= 1.126.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Group Block 'linkToPost' FeatureCVE-2026-78087 VK Blocksvk-blocks 中（Medium） CVSS 6.4 あり（1.126.2） 11,007 件 Defiant・MITRE
2026/10/15 Post and Page Builder by BoldGrid <= 1.27.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'data-label' AttributeCVE-2026-78001 Post and Page Builder by BoldGridpost-and-page-builder 中（Medium） CVSS 6.4 あり（1.27.14） 10 件未満 Defiant・MITRE
2026/10/15 Photo Gallery by 10Web <= 1.8.42 - Reflected Cross-Site Scripting via 'title' ParameterCVE-2026-18557 Photo Gallery by 10Webphoto-gallery 中（Medium） CVSS 6.1 あり（1.8.43） 615 件 Defiant・MITRE
2026/10/15 Kirki <= 6.2.0 - Authenticated (Custom+) Stored Cross-Site Scripting via Page Builder Text ContentCVE-2026-14572 Kirkikirki 中（Medium） CVSS 6.4 あり（6.2.1） 10 件未満 Defiant・MITRE
2026/10/14 rtMedia for WordPress, BuddyPress and bbPress < 4.7.14 - Authenticated (Subscriber+) Insecure Direct Object ReferenceCVE-2026-88927 rtMedia for WordPress, BuddyPress and b…buddypress-media 中（Medium） CVSS 4.3 あり（4.7.14） 10 件未満 Defiant・MITRE
2026/10/14 Pricing Table – Block – Show Product or Service Pricing in Table Format 1.0.7 - 2.1.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingCVE-2026-86797 Pricing Tableb-pricing-table 中（Medium） CVSS 6.4 あり（2.1.5） 10 件未満 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use