脆弱性情報の一覧
WordPressのプラグイン・テーマ・本体と、PHP本体の脆弱性を、深刻度、修正版の有無、 実際に悪用が確認されているか、今後30日以内に悪用される確率とあわせて並べています。 判定の根拠として使っているデータを、そのまま閲覧できるようにしたものです。
43,832
掲載中の既知脆弱性
31,883
すでに修正版が出ているもの
更新すれば防げます
更新すれば防げます
13
実際に悪用が確認されたもの
CISA KEV 登録済み
CISA KEV 登録済み
10月30日
データの最終更新
「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPressのプラグインが登録されること自体がほとんどありません。 つまりこの数は、悪用の総数ではなく、米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各行のEPSS (今後30日以内に悪用される確率) をご覧ください。
すべての深刻度: 4,577 件 (2 / 92 ページ)
表は横にスクロールできます。見出しの列幅に収まらない場合は、左右に動かしてご覧ください。
| 公表日 | 脆弱性 | 対象 | 深刻度 | 修正版 | 悪用 |
|---|---|---|---|---|---|
| 2026-10-28 | Meta Box <= 5.15.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Background Field Array Keys CVE-2026-109216 |
Meta Box – A Framework for Dynamic Websites meta-box
プラグイン
|
medium CVSS 4.9 | あり (5.15.3) | - |
| 2026-10-28 | Media Library Assistant <= 3.42 - Reflected Cross-Site Scripting via 'search-string' Parameter via {+request:...+} in Pagination Links CVE-2026-103875 |
Media Library Assistant media-library-assistant
プラグイン
|
medium CVSS 4.7 | あり (3.43) | 0.30% (低い) |
| 2026-10-28 | RSS Aggregator by Feedzy <= 5.2.12 - Unauthenticated Stored Cross-Site Scripting via YouTube media:description Feed Element CVE-2026-110707 |
RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator feedzy-rss-feeds
プラグイン
|
medium CVSS 4.7 | あり (5.2.13) | 0.30% (低い) |
| 2026-10-28 | WordPress Core 6.9.0 - 7.1.3 - Authenticated (Custom+) Incorrect Authorization to Read, Modify, and Delete Notes via REST API |
WordPress wordpress
本体
バージョン帯 3 件
|
low CVSS 3.8 | あり (6.9.11) | - |
| 2026-10-28 | WordPress Core 6.4.0 - 7.1.3 - Authenticated (Contributor+) Stored Denial of Service via Malformed Interactivity API Bindings |
WordPress wordpress
本体
バージョン帯 8 件
|
low CVSS 3.5 | あり (6.4.14) | - |
| 2026-10-28 | WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Clickjacking via Interactivity API Object Bindings |
WordPress wordpress
本体
バージョン帯 6 件
|
low CVSS 3.5 | あり (6.6.11) | - |
| 2026-10-27 | Checkout Files Upload for WooCommerce < 2.4.0 - Unauthenticated Arbitrary File Upload CVE-2026-103688 |
Checkout Files Upload for WooCommerce checkout-files-upload-woocommerce
プラグイン
|
critical CVSS 9.8 | あり (2.4.0) | 0.61% (低い) |
| 2026-10-27 | Jupiter X Core <= 4.61.0 - Unauthenticated Authentication Bypass via Twitter/X Social Login oauth_verifier Parameter CVE-2026-106013 |
Jupiter X Core jupiterx-core
プラグイン
|
critical CVSS 9.8 | あり (4.62.0) | 0.55% (低い) |
| 2026-10-27 | Pie Register Premium <= 3.8.4.0 - Unauthenticated Arbitrary File Upload via piereg_file_upload AJAX Handler CVE-2026-84999 |
Pie Register Premium pie-register-premium
プラグイン
|
critical CVSS 9.8 | あり (3.8.4.1) | 0.48% (低い) |
| 2026-10-27 | Contact Manager <= 9.1.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename Blacklist Bypass CVE-2026-109218 |
Contact Manager contact-manager
プラグイン
|
critical CVSS 9.8 | あり (9.1.3) | 0.64% (低い) |
| 2026-10-27 | VikRentCar Car Rental Management System <= 1.4.8 - Cross-Site Request Forgery to Remote Code Execution via 'condtext_update_tmpl' AJAX Task CVE-2026-111120 |
VikRentCar Car Rental Management System vikrentcar
プラグイン
|
high CVSS 8.8 | あり (1.4.9) | 0.32% (低い) |
| 2026-10-27 | The Innovative Form Builder <= 1.5.1 - Authenticated (Custom+) Arbitrary File Upload via 'allowedFileExtensions' Configuration + Public /form/submission/ Multipart Upload CVE-2026-109384 |
The Innovative Form Builder – IvyForms ivyforms
プラグイン
|
high CVSS 8.8 | あり (1.5.2) | 0.73% (低い) |
| 2026-10-27 | WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution |
WordPress wordpress
本体
バージョン帯 25 件
|
high CVSS 8.1 | あり (4.7.39) | - |
| 2026-10-27 | affiliate-toolkit <= 3.9.2 - Authenticated (Contributor+) Arbitrary File Upload via 'atkp_product_largeimageurl' Parameter CVE-2026-111255 |
affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display affiliate-toolkit-starter
プラグイン
|
high CVSS 7.5 | あり (3.9.3) | 0.52% (低い) |
| 2026-10-27 | Animated Text Block <= 1.2.6 - Missing Authorization to Unauthenticated Sensitive Information Exposure via 'id' Shortcode Attribute CVE-2026-116613 |
Animated Text Block – Add Typing and Looping Text Effects animated-text-block
プラグイン
|
high CVSS 7.5 | あり (1.2.7) | 0.28% (低い) |
| 2026-10-27 | Product Designer for WooCommerce WordPress | Lumise <= 2.1.2 - Unauthenticated Arbitrary File Read via 'design.stages[*].image' Parameter in Cart JSON Upload CVE-2026-15323 |
Product Designer for WooCommerce WordPress | Lumise lumise
プラグイン
|
high CVSS 7.5 | なし | 0.86% (低い) |
| 2026-10-27 | Event Booking Manager for WooCommerce <= 5.7.8 - Authenticated (Shop Manager+) Privilege Escalation to 'page' Parameter CVE-2026-109381 |
Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar mage-eventpress
プラグイン
|
high CVSS 7.2 | あり (5.7.9) | 0.43% (低い) |
| 2026-10-27 | MxChat <= 3.2.25 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'feedback' Parameter via mxchat_save_rating CVE-2026-110662 |
MxChat – AI Chatbot & Content Generation for WordPress mxchat-basic
プラグイン
|
high CVSS 7.2 | あり (3.2.26) | 0.31% (低い) |
| 2026-10-27 | Menu Cart for WooCommerce < 3.2.1 - Unauthenticated Stored Cross-Site Scripting CVE-2026-105972 |
Menu Cart for WooCommerce woocommerce-menu-bar-cart
プラグイン
|
high CVSS 7.2 | あり (3.2.1) | 0.29% (低い) |
| 2026-10-27 | Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation < 2.0.2 - Unauthenticated Server-Side Request Forgery CVE-2026-115225 |
Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation popup-by-supsystic
プラグイン
|
high CVSS 7.2 | あり (2.0.2) | 0.24% (低い) |
| 2026-10-27 | Prime Slider <= 4.7.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Content_Guard Regex Quote-Escape CVE-2026-111111 |
Prime Slider – Hero Slider, Carousel, WooCommerce & Post Slider Elementor Addons bdthemes-prime-slider-lite
プラグイン
|
high CVSS 7.2 | あり (4.7.3) | 0.24% (低い) |
| 2026-10-27 | AI Marketing Expert <= 1.2.8 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'name' Parameter CVE-2026-109999 |
AI Marketing Expert — AI Email Marketing, AI Content Generator, SEO Analyzer, AI Workflow Automation, Social Media & Ai Chatbot ai-marketing-expert
プラグイン
|
high CVSS 7.2 | あり (1.2.9) | 0.29% (低い) |
| 2026-10-27 | Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation < 2.0.2 - Authenticated (Administrator+) Remote Code Execution CVE-2026-115223 |
Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation popup-by-supsystic
プラグイン
|
high CVSS 7.2 | あり (2.0.2) | 0.42% (低い) |
| 2026-10-27 | AMP for WP <= 1.1.17 - Unauthenticated Stored Cross-Site Scripting via 'headline-*' Shortcode Attribute CVE-2026-97019 |
AMP for WP – Accelerated Mobile Pages accelerated-mobile-pages
プラグイン
|
high CVSS 7.2 | あり (1.1.18) | 0.24% (低い) |
| 2026-10-27 | affiliate-toolkit <= 3.9.2 - Unauthenticated Stored Cross-Site Scripting via 'atkp_product_producturl' Parameter CVE-2026-111314 |
affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display affiliate-toolkit-starter
プラグイン
|
high CVSS 7.2 | あり (3.9.3) | 0.24% (低い) |
| 2026-10-27 | WP Visitor Statistics (Real Time Traffic) <= 8.8 - Authenticated (Contributor+) SQL Injection via 'from' Shortcode Attribute CVE-2026-116609 |
WP Visitor Statistics (Real Time Traffic) wp-stats-manager
プラグイン
|
medium CVSS 6.5 | あり (8.9) | 0.34% (低い) |
| 2026-10-27 | Rich Showcase for Google Reviews <= 7.1.6 - Missing Authorization to Authenticated (Contributor+) Site Secret Disclosure via 'grw_auth_code' Site Secret Disclosure via grw-builder Admin Page CVE-2026-110020 |
Rich Showcase for Google Reviews widget-google-reviews
プラグイン
|
medium CVSS 6.5 | あり (7.1.7) | 0.38% (低い) |
| 2026-10-27 | VikRentCar Car Rental Management System <= 1.4.10 - Authenticated (Contributor+) SQL Injection via 'catid' Block Attribute CVE-2026-116750 |
VikRentCar Car Rental Management System vikrentcar
プラグイン
|
medium CVSS 6.5 | あり (1.4.11) | 0.26% (低い) |
| 2026-10-27 | Recipe Card Blocks Lite 3.5.0 - 3.6.3 - Authenticated (Contributor+) SQL Injection CVE-2026-115281 |
Recipe Card Blocks Lite recipe-card-blocks-by-wpzoom
プラグイン
|
medium CVSS 6.5 | あり (3.6.4) | 0.30% (低い) |
| 2026-10-27 | WP Inventory Manager <= 2.5.5 - Authenticated (Contributor+) SQL Injection via 'sort_order' Shortcode Attribute CVE-2026-76005 |
WP Inventory Manager wp-inventory-manager
プラグイン
|
medium CVSS 6.5 | あり (2.5.6) | 0.28% (低い) |
| 2026-10-27 | Royal Addons for Elementor – Addons and Templates Kit for Elementor 1.7.1037 - 1.7.1069 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-107098 |
Royal Addons for Elementor – Addons and Templates Kit for Elementor royal-elementor-addons
プラグイン
|
medium CVSS 6.4 | あり (1.7.1070) | 0.32% (低い) |
| 2026-10-27 | Awesome Support <= 6.4.1 - Authenticated (Custom+) Stored Cross-Site Scripting via Ticket Attachment MIME Confusion CVE-2026-103370 |
Awesome Support – WordPress HelpDesk & Support Plugin awesome-support
プラグイン
|
medium CVSS 6.4 | あり (6.4.2) | 0.26% (低い) |
| 2026-10-27 | If-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via ifso-redirect Shortcode 'url' Attribute CVE-2026-103996 |
If-So Dynamic Content – Elementor & All Page Builders Personalization if-so
プラグイン
|
medium CVSS 6.4 | あり (1.10.3) | 0.24% (低い) |
| 2026-10-27 | UiChemy <= 5.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Slot Link URL CVE-2026-109385 |
UiChemy – Convert Figma, Prompts and AI Builds to Elementor, Gutenberg and Bricks uichemy
プラグイン
|
medium CVSS 6.4 | あり (5.4.0) | 0.26% (低い) |
| 2026-10-27 | Travelly <= 2.3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width', 'height', and 'zoom' Shortcode Attributes CVE-2026-109590 |
Travelly – Tour & Travel Booking Manager for WooCommerce tour-booking-manager
プラグイン
|
medium CVSS 6.4 | あり (2.3.8) | 0.24% (低い) |
| 2026-10-27 | s2Member <= 261011 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'date_format' Shortcode Attribute CVE-2026-109972 |
s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions s2member
プラグイン
|
medium CVSS 6.4 | あり (261017) | 0.27% (低い) |
| 2026-10-27 | Page Builder by SiteOrigin < 2.38.0 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-110506 |
Page Builder by SiteOrigin siteorigin-panels
プラグイン
|
medium CVSS 6.4 | あり (2.38.0) | 0.32% (低い) |
| 2026-10-27 | If-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'conversion' Shortcode Attribute CVE-2026-104740 |
If-So Dynamic Content – Elementor & All Page Builders Personalization if-so
プラグイン
|
medium CVSS 6.4 | あり (1.10.3) | 0.24% (低い) |
| 2026-10-27 | GeoDirectory – WP Business Directory Plugin and Classified Listings Directory < 2.8.196 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-113488 |
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory geodirectory
プラグイン
|
medium CVSS 6.4 | あり (2.8.196) | 0.32% (低い) |
| 2026-10-27 | Waitlist Woocommerce ( Back in stock notifier ) <= 2.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode Attribute CVE-2026-77188 |
Waitlist Woocommerce ( Back in stock notifier ) waitlist-woocommerce
プラグイン
|
medium CVSS 6.4 | あり (2.9.2) | 0.19% (低い) |
| 2026-10-27 | GeoDirectory – WP Business Directory Plugin and Classified Listings Directory < 2.8.196 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-113487 |
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory geodirectory
プラグイン
|
medium CVSS 6.4 | あり (2.8.196) | 0.32% (低い) |
| 2026-10-27 | If-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'repeater' Parameter CVE-2026-118164 |
If-So Dynamic Content – Elementor & All Page Builders Personalization if-so
プラグイン
|
medium CVSS 6.4 | あり (1.10.3) | 0.21% (低い) |
| 2026-10-27 | MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar 5.9 - 5.15 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-111967 |
MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar mp3-music-player-by-sonaar
プラグイン
|
medium CVSS 6.4 | あり (5.16) | 0.32% (低い) |
| 2026-10-27 | Avada (Fusion) Builder <= 3.16.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tab_index' and 'empty_notice' Shortcode Attributes CVE-2026-104729 |
Avada (Fusion) Builder fusion-builder
プラグイン
|
medium CVSS 6.4 | あり (3.16.3) | 0.16% (低い) |
| 2026-10-27 | VikRentCar Car Rental Management System <= 1.4.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'className' Block Attribute CVE-2026-116749 |
VikRentCar Car Rental Management System vikrentcar
プラグイン
|
medium CVSS 6.4 | あり (1.4.11) | 0.19% (低い) |
| 2026-10-27 | Ultimate Member <= 2.14.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'user_url' Profile Field CVE-2026-107625 |
Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin ultimate-member
プラグイン
|
medium CVSS 6.4 | あり (2.14.1) | 0.19% (低い) |
| 2026-10-27 | Copy Anything to Clipboard for WordPress – Copy Button, Copy Text & Copy Code < 5.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-110524 |
Copy Anything to Clipboard for WordPress – Copy Button, Copy Text & Copy Code copy-the-code
プラグイン
|
medium CVSS 6.4 | あり (5.5.5) | 0.32% (低い) |
| 2026-10-27 | Mang Board <= 2.4.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'align' Shortcode Attribute CVE-2026-110071 |
Mang Board mangboard
プラグイン
|
medium CVSS 6.4 | あり (2.4.6) | 0.20% (低い) |
| 2026-10-27 | easy.jobs <= 2.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon' Block Attribute CVE-2026-108366 |
easy.jobs – AI powered Job Listing, Job Board, Career Page, Recruitment & Hiring Solution easyjobs
プラグイン
|
medium CVSS 6.4 | あり (2.8.3) | 0.21% (低い) |
| 2026-10-27 | All-in-One Video Gallery <= 4.9.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'more_link' Shortcode Attribute CVE-2026-109974 |
All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos all-in-one-video-gallery
プラグイン
|
medium CVSS 6.4 | あり (5.0.0) | 0.19% (低い) |
この一覧の読み方
- 題名は提供元の原文 (英語) のままです。題名から当サイトの詳細ページへ移動し、そこから提供元の記録へもたどれます。
- 深刻度は提供元が付けたCVSSの評価です。実際の危険の大きさは、悪用の条件 (ログインが必要かどうか等) やサイトの設定によって変わります。
- 修正版が「あり」なら、そのバージョン以降へ更新してください。「なし」なら、更新を待つ間はその拡張を止めるか、代わりの拡張への切り替えをご検討ください。
- 更新の前には、必ずバックアップを取ってから行ってください。
- 当サイトは、個別のサイトに脆弱性を結び付けて表示することはありません。
使っている拡張が載っていたら
まず、自分のサイトが実際にその影響範囲のバージョンを使っているかを確認してください。 WordPress脆弱性診断 にURLを入れると、使用中のバージョンと照合した結果が出ます。
更新の頻度
脆弱性データは毎日1回、自動で取り込んでいます。 公開されたばかりのものも含まれますが、提供元への掲載から当サイトへの反映までに時間差が生じることがあります。 緊急の判断が必要な場合は、必ず提供元の公式アドバイザリをご確認ください。
出典とライセンス
本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。
- 脆弱性情報: Wordfence Intelligence (Defiant Inc.)
- CVEの一次情報: NVD (NIST National Vulnerability Database)
- 悪用の実績: CISA Known Exploited Vulnerabilities Catalog
- 悪用される確率: EPSS (FIRST.org)
- プラグイン・テーマのメタ情報: WordPress.org
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use
CVE® は The MITRE Corporation の登録商標です。