脆弱性情報の一覧
WordPressのプラグイン・テーマ・本体と、PHP本体の脆弱性を、深刻度、修正版の有無、 実際に悪用が確認されているか、今後30日以内に悪用される確率とあわせて並べています。 判定の根拠として使っているデータを、そのまま閲覧できるようにしたものです。
43,832
掲載中の既知脆弱性
31,883
すでに修正版が出ているもの
更新すれば防げます
更新すれば防げます
13
実際に悪用が確認されたもの
CISA KEV 登録済み
CISA KEV 登録済み
10月30日
データの最終更新
「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPressのプラグインが登録されること自体がほとんどありません。 つまりこの数は、悪用の総数ではなく、米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各行のEPSS (今後30日以内に悪用される確率) をご覧ください。
緊急: 235 件 (1 / 5 ページ)
表は横にスクロールできます。見出しの列幅に収まらない場合は、左右に動かしてご覧ください。
| 公表日 | 脆弱性 | 対象 | 深刻度 | 修正版 | 悪用 |
|---|---|---|---|---|---|
| 2026-10-29 | Gravity Forms <= 3.1.2 - Unauthenticated PHP Object Injection via Post Custom Field CVE-2026-103039 |
Gravity Forms gravityforms
プラグイン
|
critical CVSS 9.8 | あり (3.1.3) | - |
| 2026-10-28 | Bot for Telegram on WooCommerce <= 1.3.0 - Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token CVE-2026-109516 |
Bot for Telegram on WooCommerce bot-for-telegram-on-woocommerce
プラグイン
|
critical CVSS 9.8 | なし | 0.57% (低い) |
| 2026-10-27 | Checkout Files Upload for WooCommerce < 2.4.0 - Unauthenticated Arbitrary File Upload CVE-2026-103688 |
Checkout Files Upload for WooCommerce checkout-files-upload-woocommerce
プラグイン
|
critical CVSS 9.8 | あり (2.4.0) | 0.61% (低い) |
| 2026-10-27 | Jupiter X Core <= 4.61.0 - Unauthenticated Authentication Bypass via Twitter/X Social Login oauth_verifier Parameter CVE-2026-106013 |
Jupiter X Core jupiterx-core
プラグイン
|
critical CVSS 9.8 | あり (4.62.0) | 0.55% (低い) |
| 2026-10-27 | Pie Register Premium <= 3.8.4.0 - Unauthenticated Arbitrary File Upload via piereg_file_upload AJAX Handler CVE-2026-84999 |
Pie Register Premium pie-register-premium
プラグイン
|
critical CVSS 9.8 | あり (3.8.4.1) | 0.48% (低い) |
| 2026-10-27 | Contact Manager <= 9.1.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename Blacklist Bypass CVE-2026-109218 |
Contact Manager contact-manager
プラグイン
|
critical CVSS 9.8 | あり (9.1.3) | 0.64% (低い) |
| 2026-10-26 | Qode Membership <= 2.0.6.2 - Authentication Bypass via Social Login CVE-2026-92885 |
Qode Membership qode-membership
プラグイン
|
critical CVSS 9.8 | あり (2.0.6.3) | 0.37% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Privilege Escalation via Account Takeover CVE-2026-94268 |
Advanced Custom Fields: Extended acf-extended
プラグイン
|
critical CVSS 9.8 | あり (0.9.2.8) | 0.32% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Privilege Escalation via Account Takeover CVE-2026-94268 |
Advanced Custom Fields: Extended PRO acf-extended-pro
プラグイン
|
critical CVSS 9.8 | あり (0.9.2.8) | 0.32% (低い) |
| 2026-10-22 | Prime Mover <= 2.2.1 - Unauthenticated PHP Object Injection via Base64-Encoded Comment during Migration Search-and-Replace CVE-2026-115806 |
Prime Mover – Backup and Migration prime-mover
プラグイン
|
critical CVSS 9.8 | あり (2.2.2) | 0.55% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Remote Code Execution CVE-2026-94267 |
Advanced Custom Fields: Extended acf-extended
プラグイン
|
critical CVSS 9.8 | あり (0.9.2.8) | 0.39% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Remote Code Execution CVE-2026-94267 |
Advanced Custom Fields: Extended PRO acf-extended-pro
プラグイン
|
critical CVSS 9.8 | あり (0.9.2.8) | 0.39% (低い) |
| 2026-10-21 | YOOtheme Pro 5.0.0 - 5.0.52 - Unauthenticated Arbitrary File Upload CVE-2026-102785 |
YOOtheme Pro yootheme
テーマ
|
critical CVSS 9.8 | あり (5.0.53) | 0.77% (低い) |
| 2026-10-21 | PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. CVE-2026-109618 |
PHP php
PHP
バージョン帯 4 件
|
critical CVSS 9.2 | なし | 確認済み |
| 2026-10-21 | PHP has various global state that temporarily points into request memory. CVE-2026-109619 |
PHP php
PHP
バージョン帯 4 件
|
critical CVSS 9.2 | なし | 確認済み |
| 2026-10-19 | WP Mailster <= 1.9.1.0 - Unauthenticated Arbitrary File Upload CVE-2026-111832 |
WP Mailster wp-mailster
プラグイン
|
critical CVSS 9.8 | あり (1.9.2.0) | 0.40% (低い) |
| 2026-10-19 | Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Arbitrary File Deletion CVE-2026-112311 |
Advanced Custom Fields: Extended acf-extended
プラグイン
|
critical CVSS 9.1 | あり (0.9.2.8) | 0.34% (低い) |
| 2026-10-18 | weForms – Easy Drag & Drop Contact Form Builder For WordPress <= 1.6.28 - Unauthenticated Arbitrary File Deletion CVE-2026-111833 |
weForms – Easy Drag & Drop Contact Form Builder For WordPress weforms
プラグイン
|
critical CVSS 9.1 | あり (1.6.29) | 0.48% (低い) |
| 2026-10-16 | LearnPress <= 4.4.10 - Unauthenticated PHP Object Injection via 'checkout-email' Parameter CVE-2026-104736 |
LearnPress – WordPress LMS Plugin for Create and Sell Online Courses learnpress
プラグイン
|
critical CVSS 9.8 | あり (4.4.11) | 2.5% (中程度) |
| 2026-10-16 | Appointment Booking Plugin <= 5.7.4 - Unauthenticated Authentication Bypass via Race Condition on OTP Attempts Counter CVE-2026-110653 |
Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress latepoint
プラグイン
|
critical CVSS 9.1 | あり (5.7.5) | 0.40% (低い) |
| 2026-10-15 | Mang Board - 2.4.4 - Unauthenticated Arbitrary File Upload via 'image_path' Parameter CVE-2026-109219 |
Mang Board mangboard
プラグイン
|
critical CVSS 9.8 | あり (2.4.5) | 0.69% (低い) |
| 2026-10-15 | Theme My Login <= 7.2.1 - Unauthenticated Privilege Escalation via 'user_pass1' POST Parameter in wp_pre_insert_user_data Filter CVE-2026-89079 |
Theme My Login theme-my-login
プラグイン
|
critical CVSS 9.8 | あり (7.2.2) | 1.6% (中程度) |
| 2026-10-15 | Rank Math SEO PRO 3.0.123 - Unauthenticated Embedded Malicious Code CVE-2026-111862 |
Rank Math SEO PRO seo-by-rank-math-pro
プラグイン
|
critical CVSS 9.8 | あり (3.0.124) | 0.66% (低い) |
| 2026-10-15 | ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.7 - Unauthenticated Arbitrary File Upload via IMAP Email Attachment CVE-2026-103768 |
ELEX WordPress HelpDesk & Customer Ticketing System elex-helpdesk-customer-support-ticket-system
プラグイン
|
critical CVSS 9.8 | あり (3.3.8) | 0.58% (低い) |
| 2026-10-15 | MailOptin <= 1.2.78.6 - Unauthenticated Privilege Escalation to 'form_custom_field_mappings' Parameter CVE-2026-109515 |
MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc. mailoptin
プラグイン
|
critical CVSS 9.8 | あり (1.2.78.7) | 0.44% (低い) |
| 2026-10-15 | Sunshine Photo Cart <= 3.7.4 - Unauthenticated PHP Object Injection via 'key' Parameter CVE-2026-104730 |
Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers sunshine-photo-cart
プラグイン
|
critical CVSS 9.8 | あり (3.7.5) | 0.51% (低い) |
| 2026-10-15 | My Calendar <= 3.8.7 - Unauthenticated Privilege Escalation to 'mcs' Parameter via Reflected Shortcode Injection into 'above' Attribute CVE-2026-104798 |
My Calendar – Accessible Event Manager my-calendar
プラグイン
バージョン帯 5 件
|
critical CVSS 9.8 | あり (3.4.25) | 0.47% (低い) |
| 2026-10-14 | 10Web Booster <= 2.34.10 - Unauthenticated Arbitrary File Upload via 'page_id' Parameter CVE-2026-108587 |
10Web Booster – Website speed optimization, Cache & Page Speed optimizer tenweb-speed-optimizer
プラグイン
|
critical CVSS 9.8 | あり (2.34.11) | 0.92% (低い) |
| 2026-10-13 | AGE-GATE <= 1.0 - Unauthenticated Remote Code Execution via PHP Code Injection via 'width'/'height' Parameters to Standalone admin.php CVE-2026-104800 |
AGE-GATE wp-site-age-gate
プラグイン
|
critical CVSS 9.8 | なし | 1.0% (中程度) |
| 2026-10-13 | Printcart Store - Web to Print Product Designer for WooCommerce (PCDesigner) <= 2.9.1 - Unauthenticated Arbitrary File Upload to Remote Code Execution via nbdesigner_copy_image_from_url CVE-2026-93388 |
Printcart Store – Web to Print Product Designer for WooCommerce printcart-integration
プラグイン
|
critical CVSS 9.8 | あり (2.9.2) | 0.85% (低い) |
| 2026-10-13 | Snazzy Social Media Feed <= 2.5 - Unauthenticated Arbitrary File Upload via 'pluginURL' Parameter CVE-2026-110002 |
Snazzy Social Media Feed snazzy-cacheable-facebook-feed
プラグイン
|
critical CVSS 9.8 | なし | 0.95% (低い) |
| 2026-10-13 | Abandoned Cart Pro for WooCommerce <= 10.8.0 - Unauthenticated SQL Injection via Guest Persistent Cart meta_value CVE-2026-97668 |
Abandoned Cart Pro for WooCommerce woocommerce-abandon-cart-pro
プラグイン
|
critical CVSS 9.8 | あり (10.8.1) | 0.45% (低い) |
| 2026-10-13 | The Grid <= 2.8.1 - Unauthenticated Remote Code Execution CVE-2026-94169 |
The Grid the-grid
プラグイン
|
critical CVSS 9.8 | あり (2.8.2) | 4.4% (中程度) |
| 2026-10-13 | Abandoned Cart Pro for WooCommerce <= 10.8.0 - Unauthenticated Authentication Bypass via Malleable Encryption and Bypassable HMAC via Recovery Link 'validate' Parameter CVE-2026-97657 |
Abandoned Cart Pro for WooCommerce woocommerce-abandon-cart-pro
プラグイン
|
critical CVSS 9.8 | あり (10.8.1) | 0.45% (低い) |
| 2026-10-13 | SimpleForm <= 3.10.0 - Unauthenticated Privilege Escalation to wp_capabilities Mass Assignment via simpleform_wp_register CVE-2026-104748 |
SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications simple-form
プラグイン
|
critical CVSS 9.8 | あり (3.10.1) | 0.83% (低い) |
| 2026-10-13 | OTP Login & Register Woocommerce <= 2.7.2 - Unauthenticated Account Takeover CVE-2026-110135 |
OTP Login & Register Woocommerce mobile-login-woocommerce
プラグイン
|
critical CVSS 9.8 | あり (2.7.3) | 0.27% (低い) |
| 2026-10-13 | JTL-Connector for WooCommerce <= 2.4.3 - Unauthenticated Arbitrary File Upload via 'image.push' Method CVE-2026-87855 |
JTL-Connector for WooCommerce woo-jtl-connector
プラグイン
|
critical CVSS 9.8 | なし | 0.79% (低い) |
| 2026-10-13 | BuddyPress XProfile Image Field <= 3.1.0 - Unauthenticated Arbitrary File Deletion via Signup Image Field Activation Handler |
BuddyPress XProfile Custom Image Field buddypress-xprofile-image-field
プラグイン
|
critical CVSS 9.1 | なし | - |
| 2026-10-13 | Click to Chat <= 4.44 - Unauthenticated Arbitrary Shortcode Execution via REQUEST_URI via {url} Placeholder CVE-2026-92097 |
Click to Chat – HoliThemes click-to-chat-for-whatsapp
プラグイン
|
critical CVSS 9.1 | あり (4.45) | 0.53% (低い) |
| 2026-10-12 | MDTF – Meta Data and Taxonomies Filter <= 1.3.9 - Unauthenticated Remote Code Execution CVE-2026-108151 |
MDTF – Meta Data and Taxonomies Filter wp-meta-data-filter-and-taxonomy-filter
プラグイン
|
critical CVSS 9.8 | あり (1.4.0) | 0.24% (低い) |
| 2026-10-11 | File Upload to Order <= 1.1.3 - Unauthenticated Arbitrary File Deletion CVE-2026-107594 |
File Upload to Order for WooCommerce file-upload-to-order
プラグイン
|
critical CVSS 9.1 | あり (1.1.4) | 0.46% (低い) |
| 2026-10-09 | WPCOM Member <= 1.7.27 - Unauthenticated Authentication Bypass via 'uuid' and 'code' Parameters on Social-Login Callback CVE-2026-104803 |
WPCOM Member wpcom-member
プラグイン
|
critical CVSS 9.8 | あり (1.8.0) | 0.45% (低い) |
| 2026-10-09 | Tailored Tools <= 3.0.3 - Unauthenticated Arbitrary File Upload CVE-2026-62025 |
Tailored Tools tailored-tools
プラグイン
|
critical CVSS 9.8 | あり (3.0.5) | 0.29% (低い) |
| 2026-10-09 | 3D Product configurator for WooCommerce <= 2.16.2 - Unauthenticated Remote Code Execution via 'xpv_image' Parameter CVE-2026-103889 |
3D Product configurator for WooCommerce expivi
プラグイン
|
critical CVSS 9.8 | あり (2.16.3) | 1.0% (中程度) |
| 2026-10-09 | Advanced IP Blocker <= 8.13.13 - Unauthenticated Authentication Bypass via Missing Step-1 Binding to 2FA Login Handler CVE-2026-104732 |
Advanced IP Blocker advanced-ip-blocker
プラグイン
|
critical CVSS 9.8 | あり (8.13.14) | 0.47% (低い) |
| 2026-10-09 | Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) <= 3.4.5 - Unauthenticated Arbitrary File Upload via Signature Field File Upload CVE-2026-94589 |
Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) extensions-for-cf7
プラグイン
|
critical CVSS 9.8 | あり (3.4.6) | 0.66% (低い) |
| 2026-10-09 | PPOM <= 34.0.10 - Unauthenticated Arbitrary File Deletion via 'ppom[fields][<data_name>][n][org]' Parameter CVE-2026-104801 |
PPOM – Product Addons & Custom Fields for WooCommerce woocommerce-product-addon
プラグイン
|
critical CVSS 9.1 | あり (34.0.11) | 0.76% (低い) |
| 2026-10-09 | Blocksy Companion <= 2.1.58 - Unauthenticated Privilege Escalation to 'role' Parameter CVE-2026-107645 |
Blocksy Companion blocksy-companion
プラグイン
|
critical CVSS 9.1 | あり (2.1.59) | 0.30% (低い) |
| 2026-10-09 | Avada (Fusion) Builder <= 3.16.1 - Unauthenticated Arbitrary WordPress Action Invocation via '{action_hook}' Dynamic-Data Token in Form Field CVE-2026-97670 |
Avada (Fusion) Builder fusion-builder
プラグイン
|
critical CVSS 9.1 | あり (3.16.2) | 0.46% (低い) |
| 2026-10-08 | Freeton WP <= 1.0.0 - Unauthenticated Privilege Escalation via Account Takeover CVE-2026-84737 |
Freeton WP freeton-wp
プラグイン
|
critical CVSS 9.8 | なし | 0.34% (低い) |
この一覧の読み方
- 題名は提供元の原文 (英語) のままです。題名から当サイトの詳細ページへ移動し、そこから提供元の記録へもたどれます。
- 深刻度は提供元が付けたCVSSの評価です。実際の危険の大きさは、悪用の条件 (ログインが必要かどうか等) やサイトの設定によって変わります。
- 修正版が「あり」なら、そのバージョン以降へ更新してください。「なし」なら、更新を待つ間はその拡張を止めるか、代わりの拡張への切り替えをご検討ください。
- 更新の前には、必ずバックアップを取ってから行ってください。
- 当サイトは、個別のサイトに脆弱性を結び付けて表示することはありません。
使っている拡張が載っていたら
まず、自分のサイトが実際にその影響範囲のバージョンを使っているかを確認してください。 WordPress脆弱性診断 にURLを入れると、使用中のバージョンと照合した結果が出ます。
更新の頻度
脆弱性データは毎日1回、自動で取り込んでいます。 公開されたばかりのものも含まれますが、提供元への掲載から当サイトへの反映までに時間差が生じることがあります。 緊急の判断が必要な場合は、必ず提供元の公式アドバイザリをご確認ください。
出典とライセンス
本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。
- 脆弱性情報: Wordfence Intelligence (Defiant Inc.)
- CVEの一次情報: NVD (NIST National Vulnerability Database)
- 悪用の実績: CISA Known Exploited Vulnerabilities Catalog
- 悪用される確率: EPSS (FIRST.org)
- プラグイン・テーマのメタ情報: WordPress.org
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use
CVE® は The MITRE Corporation の登録商標です。