WordPress プラグインの脆弱性一覧（直近90日）

直近90日（2026年7月19日〜2026年10月17日）に公表された WordPress プラグインの脆弱性を、深刻度・修正版の有無・国内で使われているサイトの数とあわせて並べています。

直近90日のまとめ

脆弱性の一覧

すべての深刻度・国内で使われているもの：2,419 件（1／49ページ）

表は横にスクロールできます。

公表日脆弱性（英語の原文）プラグイン深刻度修正版国内の利用数出典
2026/10/16 Tutor LMS <= 4.1.0 - Insecure Direct Object Reference to Authenticated (Author+) Arbitrary Course Modification and Ownership Takeover via 'ID' ParameterCVE-2026-92715 Tutor LMStutor 中（Medium） CVSS 4.3 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Referer Header via 'referrer_url' Smart TagCVE-2026-92798 User Registration & Membershipuser-registration 高（High） CVSS 8.1 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Cross-Site Request Forgery to trigger_bulk_action()CVE-2026-92978 User Registration & Membershipuser-registration 中（Medium） CVSS 4.3 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Unauthenticated Stored Cross-Site Scripting via Checkbox Field ValueCVE-2026-96660 User Registration & Membershipuser-registration 高（High） CVSS 7.2 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation via 'user_permission' Parameter via Cross-Form Nonce ReuseCVE-2026-109369 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.8 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via wpbs_refresh_calendar_editor AJAX actionCVE-2026-109368 WP Booking Systemwp-booking-system 中（Medium） CVSS 6.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'wpbs_action=email_logs' ActionCVE-2026-108123 WP Booking Systemwp-booking-system 高（High） CVSS 7.5 あり（2.1.0.4） 13 件 Defiant・MITRE
2026/10/16 Themify Popup <= 1.4.7 - Authenticated (Author+) Stored Cross-Site Scripting via 'popup_width_unit' ParameterCVE-2026-109989 Themify Popupthemify-popup 中（Medium） CVSS 6.4 あり（1.4.8） 10 件未満 Defiant・MITRE
2026/10/16 Themify Builder <= 7.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'visible' Shortcode AttributeCVE-2026-111726 Themify Builderthemify-builder 中（Medium） CVSS 6.4 あり（7.8.3） 17 件 Defiant・MITRE
2026/10/16 Welcart e-Commerce <= 2.12.4 - Authenticated (Editor+) SQL Injection via 'wp_usces_order_old' CookieCVE-2026-107752 Welcart e-Commerceusc-e-shop 中（Medium） CVSS 4.9 あり（2.12.5） 2,863 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Unauthenticated PHP Object Injection via 'checkout-email' ParameterCVE-2026-104736 LearnPresslearnpress 緊急（Critical） CVSS 9.8 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Missing Authorization to Authenticated (Subscriber+) Email Address Enumeration via 'search-authors' AJAX ActionCVE-2026-107744 LearnPresslearnpress 中（Medium） CVSS 6.5 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Appointment Booking Plugin <= 5.7.4 - Unauthenticated Sensitive Information Disclosure via ORM Operator Injection in 'customer[uuid]' ParameterCVE-2026-111602 Appointment Booking Pluginlatepoint 低（Low） CVSS 3.7 あり（5.7.5） 20 件 Defiant・MITRE
2026/10/16 LearnPress <= 4.4.10 - Unauthenticated Stored Cross-Site Scripting via 'quantity' and 'order_comments' ParametersCVE-2026-109208 LearnPresslearnpress 高（High） CVSS 7.2 あり（4.4.11） 13 件 Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Exposure via Context Smuggling via 'context' ParameterCVE-2026-107762 Kirkikirki 高（High） CVSS 7.5 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Appointment Booking Plugin <= 5.7.4 - Unauthenticated Authentication Bypass via Race Condition on OTP Attempts CounterCVE-2026-110653 Appointment Booking Pluginlatepoint 緊急（Critical） CVSS 9.1 あり（5.7.5） 20 件 Defiant・MITRE
2026/10/16 Kirki <= 6.3.2 - Authenticated (Administrator+) PHP Object Injection via Deserialization of Untrusted Input via ZIP Template ImportCVE-2026-104734 Kirkikirki 高（High） CVSS 7.2 あり（6.4.0） 10 件未満 Defiant・MITRE
2026/10/16 Events Made Easy <= 3.2.22 - Unauthenticated Stored Cross-Site Scripting via 'event[location_name]' ParameterCVE-2026-107649 Events Made Easyevents-made-easy 中（Medium） CVSS 5.4 あり（3.2.23） 10 件未満 Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.191 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'post_content' Parameter via data-embed-url AttributeCVE-2026-110703 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.192） 12 件 Defiant・MITRE
2026/10/16 SureCart <= 4.9.4 - Unauthenticated Stored Cross-Site Scripting via sc-cart-loader 'template' Attribute in CommentCVE-2026-109224 SureCartsurecart 高（High） CVSS 7.2 あり（4.9.5） 20 件 Defiant・MITRE
2026/10/16 Name Directory <= 1.34.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'dir' Shortcode AttributeCVE-2026-104726 Name Directoryname-directory 中（Medium） CVSS 6.4 あり（1.34.3） 10 件未満 Defiant・MITRE
2026/10/16 Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.17.5 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Comment Content Rendered on ProfilePress User Profile 'Comments' TabCVE-2026-104003 Paid Membership Plugin, Ecommerce, User…wp-user-avatar 中（Medium） CVSS 5.4 あり（4.17.6） 3,212 件 Defiant・MITRE
2026/10/16 Tutor LMS <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via display_name ParameterCVE-2026-93681 Tutor LMStutor 中（Medium） CVSS 6.4 あり（4.1.1） 34 件 Defiant・MITRE
2026/10/16 User Registration PRO <= 6.2.9 - Unauthenticated Stored Cross-Site Scripting via HTTP Referer HeaderCVE-2026-87111 User Registration PROuser-registration-pro 高（High） CVSS 7.2 あり（6.3.0） 10 件未満 Defiant・MITRE
2026/10/16 FiboSearch <= 1.34.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'purchased_plan' ParameterCVE-2026-100106 FiboSearchajax-search-for-woocommerce 中（Medium） CVSS 6.4 あり（1.34.3） 35 件 Defiant・MITRE
2026/10/16 GeoDirectory <= 2.8.192 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'twitterusername' Custom FieldCVE-2026-111069 GeoDirectorygeodirectory 中（Medium） CVSS 6.4 あり（2.8.193） 12 件 Defiant・MITRE
2026/10/16 TranslatePress <= 3.3.7 - Unauthenticated Stored Cross-Site Scripting via Comment Anchor href with trp-gettext/TRPLINKPROCESSED MarkersCVE-2026-107768 TranslatePresstranslatepress-multilingual 高（High） CVSS 7.2 あり（3.3.8） 938 件 Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Unauthenticated Stored Cross-Site Scripting via Custom User Attribute ValueCVE-2026-109193 HivePresshivepress 高（High） CVSS 7.2 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 HivePress <= 1.7.32 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'message' Attribute of the hivepress_user_login_form ShortcodeCVE-2026-109388 HivePresshivepress 中（Medium） CVSS 6.4 あり（1.8.0） 18 件 Defiant・MITRE
2026/10/16 WebberZone Top 10 <= 4.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'other_attributes' Block AttributeCVE-2026-110290 WebberZone Top 10top-10 中（Medium） CVSS 6.4 あり（4.5.3） 313 件 Defiant・MITRE
2026/10/16 Premium Packages <= 7.2.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Order NotesCVE-2026-110664 Premium Packageswpdm-premium-packages 中（Medium） CVSS 6.4 あり（7.3.0） 56 件 Defiant・MITRE
2026/10/16 WPConsent <= 1.1.9 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Simple HTML DOM Parser Noise-Key Restoration (mXSS)CVE-2026-97640 WPConsentwpconsent-cookies-banner-privacy-suite 高（High） CVSS 7.2 あり（1.2.0） 85 件 Defiant・MITRE
2026/10/16 WP Photo Album Plus <= 9.3.02.002 - Authenticated (Custom+) Command Injection via 'value' Parameter (crop item) in update-photo AJAX ActionCVE-2026-92115 WP Photo Album Pluswp-photo-album-plus 高（High） CVSS 8.8 あり（9.3.02.003） 18 件 Defiant・MITRE
2026/10/16 WP Map Block <= 3.0.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Map Publish/Unpublish/Delete via set_status() and bulk() REST EndpointsCVE-2026-19798 WP Map Blockwp-map-block 中（Medium） CVSS 4.3 あり（3.1.0） 15 件 Defiant・MITRE
2026/10/16 HUSKY <= 1.4.5 - Unauthenticated Sensitive Information Exposure in 'woof_tm_data' Localized ScriptCVE-2026-107646 HUSKYwoocommerce-products-filter 中（Medium） CVSS 5.3 あり（1.4.6） 44 件 Defiant・MITRE
2026/10/16 WP Booking System <= 2.1.0.1 - Authenticated (Administrator+) SQL Injection via 'orderby' ParameterCVE-2026-111178 WP Booking Systemwp-booking-system 中（Medium） CVSS 4.9 あり（2.1.0.2） 13 件 Defiant・MITRE
2026/10/16 WP Compress <= 7.25.00 - Unauthenticated Privilege Escalation to 'group'/'setting'/'value' Parameters on comms EndpointCVE-2026-104755 WP Compresswp-compress-image-optimizer 中（Medium） CVSS 4.8 あり（7.26.00） 10 件未満 Defiant・MITRE
2026/10/16 User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via display_nameCVE-2026-15222 User Registration & Membershipuser-registration 中（Medium） CVSS 5.4 あり（5.3.0） 10 件未満 Defiant・MITRE
2026/10/16 Ultra Addons for Contact Form 7 <= 3.5.54 - Unauthenticated Stored Cross-Site Scripting via File UploadCVE-2026-103999 Ultra Addons for Contact Form 7ultimate-addons-for-contact-form-7 高（High） CVSS 7.2 あり（3.5.55） 52 件 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Comment Content via unfiltered_html Grant to Customer RoleCVE-2026-97470 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Tourfic <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode AttributeCVE-2026-103480 Tourfictourfic 中（Medium） CVSS 6.4 あり（3.0.2） 10 件未満 Defiant・MITRE
2026/10/16 Search Regex 3.5 - Authenticated (Subscriber+) Remote Code Execution via User Meta Serialized String CorruptionCVE-2026-104932 Search Regexsearch-regex 高（High） CVSS 8.0 あり（3.5.1） 34,483 件 Defiant・MITRE
2026/10/16 Theme My Login <= 7.2.1 - Unauthenticated Privilege Escalation via 'user_pass1' POST Parameter in wp_pre_insert_user_data FilterCVE-2026-89079 Theme My Logintheme-my-login 緊急（Critical） CVSS 9.8 あり（7.2.2） 260 件 Defiant・MITRE
2026/10/16 10Web Booster <= 2.34.5 - Unauthenticated Limited File Write / Cache Poisoning via Query-string Parameter Traversal in Page-Cache PathCVE-2026-103896 10Web Boostertenweb-speed-optimizer 高（High） CVSS 7.5 あり（2.34.8） 15 件 Defiant・MITRE
2026/10/16 Tainacan <= 1.3.0 - Authenticated (Subscriber+) Path Traversal to Arbitrary File Read via 'guid' ParameterCVE-2026-93767 Tainacantainacan 中（Medium） CVSS 6.5 あり（1.4.0） 10 件未満 Defiant・MITRE
2026/10/16 SQL Chart Builder <= 3.0.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SQL Chart Label (X-axis) via Stored User FieldCVE-2026-100158 SQL Chart Buildersql-chart-builder 中（Medium） CVSS 6.4 あり（3.0.7） 10 件未満 Defiant・MITRE
2026/10/16 Tutor LMS <= 4.0.8 - Authenticated (Subscriber+) Reflected DOM-Based Cross-Site Scripting via 'redirect_url' ParameterCVE-2026-88963 Tutor LMStutor 中（Medium） CVSS 6.1 あり（4.0.9） 34 件 Defiant・MITRE
2026/10/16 Slim SEO <= 4.11.1 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'Biographical Info' User MetaCVE-2026-104001 Slim SEOslim-seo 中（Medium） CVSS 5.4 あり（4.11.2） 231 件 Defiant・MITRE
2026/10/16 Lightweight Cookie Notice <= 1.19 - Sensitive Information Exposure via W3TC_DYNAMIC_SECURITY ConstantCVE-2026-12272 Lightweight Cookie Noticelightweight-cookie-notice-free 中（Medium） CVSS 5.3 あり（1.20） 10 件未満 Defiant・MITRE
2026/10/16 Schema & Structured Data for WP & AMP <= 1.67 - Unauthenticated Stored Cross-Site Scripting via 'saswp_review_text' ParameterCVE-2026-96570 Schema & Structured Data for WP & AMPschema-and-structured-data-for-wp 高（High） CVSS 7.2 あり（1.68） 891 件 Defiant・MITRE

題名は Wordfence Intelligence の原文（英語）のままです。題名から Wordfence の詳細ページ（英語）へ移動します。「国内の利用数」は使っていることを確認できたサイトの数（下限、2026年9月時点）で、脆弱なバージョンを使っているサイトの数ではありません。

この一覧の読み方（注意）

使っているプラグインが載っていたら

調べ方

出典

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use