脆弱性情報の一覧
WordPressのプラグイン・テーマ・本体と、PHP本体の脆弱性を、深刻度、修正版の有無、 実際に悪用が確認されているか、今後30日以内に悪用される確率とあわせて並べています。 判定の根拠として使っているデータを、そのまま閲覧できるようにしたものです。
43,832
掲載中の既知脆弱性
31,883
すでに修正版が出ているもの
更新すれば防げます
更新すれば防げます
13
実際に悪用が確認されたもの
CISA KEV 登録済み
CISA KEV 登録済み
10月30日
データの最終更新
「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPressのプラグインが登録されること自体がほとんどありません。 つまりこの数は、悪用の総数ではなく、米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各行のEPSS (今後30日以内に悪用される確率) をご覧ください。
高: 1,386 件 (1 / 28 ページ)
表は横にスクロールできます。見出しの列幅に収まらない場合は、左右に動かしてご覧ください。
| 公表日 | 脆弱性 | 対象 | 深刻度 | 修正版 | 悪用 |
|---|---|---|---|---|---|
| 2026-10-29 | Export and Import Users and Customers <= 2.7.5 - Authenticated (Subscriber+) Privilege Escalation via CSV Escape-Character Mismatch in Export/Import Round Trip via Biographical Info Field CVE-2026-104368 |
Export and Import Users and Customers users-customers-import-export-for-wp-woocommerce
プラグイン
|
high CVSS 8.8 | あり (2.7.6) | - |
| 2026-10-29 | Formidable Forms <= 6.35 - Authenticated (Subscriber+) Arbitrary Plugin Installation via 'file_url' Parameter CVE-2026-89435 |
Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder formidable
プラグイン
|
high CVSS 8.8 | あり (7.0) | - |
| 2026-10-29 | AI Engine – The Chatbot, AI Framework & MCP for WordPress <= 3.8.6 - Missing Authorization to Administrator Account Takeover via Unauthenticated MCP OAuth Client Registration CVE-2026-110732 |
AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini ai-engine
プラグイン
|
high CVSS 7.5 | あり (3.8.7) | - |
| 2026-10-29 | Gravity Forms <= 3.1.1 - Unauthenticated Stored Cross-Site Scripting via Post Excerpt / Post Custom Field / Rich-Text Paragraph Field Values CVE-2026-90437 |
Gravity Forms gravityforms
プラグイン
|
high CVSS 7.2 | あり (3.1.2) | - |
| 2026-10-29 | Gravity Forms <= 3.1.2 - Unauthenticated Stored Cross-Site Scripting via List Field CVE-2026-97645 |
Gravity Forms gravityforms
プラグイン
|
high CVSS 7.2 | あり (3.1.3) | - |
| 2026-10-29 | Food Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_time' Cookie CVE-2026-116622 |
Food Store – Online Food Delivery & Pickup food-store
プラグイン
|
high CVSS 7.2 | なし | - |
| 2026-10-28 | SSL Wireless SMS Notification <= 3.8.1 - Unauthenticated Authentication Bypass to Account Takeover CVE-2026-96228 |
SSL Wireless SMS Notification ssl-wireless-sms-notification
プラグイン
|
high CVSS 8.1 | なし | 0.47% (低い) |
| 2026-10-28 | SendPress Newsletters <= 1.26.1.20 - Unauthenticated SQL Injection via 'subscriberid' Parameter CVE-2026-93855 |
SendPress Newsletters sendpress
プラグイン
|
high CVSS 7.5 | なし | 0.41% (低い) |
| 2026-10-28 | Social Web Suite <= 4.1.12 - Unauthenticated SQL Injection via 'exclude_posts' Parameter CVE-2026-93904 |
Social Web Suite – Social Media Auto Post, Social Media Auto Publish social-web-suite
プラグイン
|
high CVSS 7.5 | なし | 0.46% (低い) |
| 2026-10-28 | Newsmatic <= 1.5.0 - Unauthenticated SQL Injection via 'slug' Parameter CVE-2026-110184 |
Newsmatic newsmatic
テーマ
|
high CVSS 7.5 | あり (1.5.1) | - |
| 2026-10-28 | Wild Apricot Login <= 1.0.18 - Authentication Bypass via SSO Email-Collision Account Binding on Multisite CVE-2026-93757 |
Wild Apricot Login wild-apricot-login
プラグイン
|
high CVSS 7.5 | なし | 0.43% (低い) |
| 2026-10-28 | NEX-Forms <= 9.3.2 - Unauthenticated Stored Cross-Site Scripting via Content-Type Header CVE-2026-96767 |
NEX-Forms – Ultimate Forms Plugin for WordPress nex-forms-express-wp-form-builder
プラグイン
|
high CVSS 7.2 | あり (9.3.3) | - |
| 2026-10-28 | DSGVO All in one for WP <= 5.0 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Output Buffer Regex Corruption CVE-2026-96741 |
DSGVO All in one for WP dsgvo-all-in-one-for-wp
プラグイン
|
high CVSS 7.2 | なし | 0.24% (低い) |
| 2026-10-28 | Food Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_type' Cookie CVE-2026-96669 |
Food Store – Online Food Delivery & Pickup food-store
プラグイン
|
high CVSS 7.2 | なし | 0.30% (低い) |
| 2026-10-28 | Schema App Structured Data <= 2.3.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via 'Remove Microdata' Output Filter CVE-2026-96666 |
Schema App Structured Data schema-app-structured-data-for-schemaorg
プラグイン
|
high CVSS 7.2 | なし | 0.30% (低い) |
| 2026-10-28 | NewsmanApp <= 3.7.29 - Unauthenticated Stored Cross-Site Scripting via 'billing_first_name' and 'billing_last_name' Parameters CVE-2026-115821 |
NewsmanApp newsmanapp
プラグイン
|
high CVSS 7.2 | あり (3.7.32) | - |
| 2026-10-28 | Mapster WP Maps <= 2.0.5 - Unauthenticated Stored Cross-Site Scripting via 'config.loading.background' Parameter CVE-2026-107743 |
Mapster WP Maps mapster-wp-maps
プラグイン
|
high CVSS 7.2 | あり (2.0.6) | 0.40% (低い) |
| 2026-10-27 | VikRentCar Car Rental Management System <= 1.4.8 - Cross-Site Request Forgery to Remote Code Execution via 'condtext_update_tmpl' AJAX Task CVE-2026-111120 |
VikRentCar Car Rental Management System vikrentcar
プラグイン
|
high CVSS 8.8 | あり (1.4.9) | 0.32% (低い) |
| 2026-10-27 | The Innovative Form Builder <= 1.5.1 - Authenticated (Custom+) Arbitrary File Upload via 'allowedFileExtensions' Configuration + Public /form/submission/ Multipart Upload CVE-2026-109384 |
The Innovative Form Builder – IvyForms ivyforms
プラグイン
|
high CVSS 8.8 | あり (1.5.2) | 0.73% (低い) |
| 2026-10-27 | WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution |
WordPress wordpress
本体
バージョン帯 25 件
|
high CVSS 8.1 | あり (4.7.39) | - |
| 2026-10-27 | affiliate-toolkit <= 3.9.2 - Authenticated (Contributor+) Arbitrary File Upload via 'atkp_product_largeimageurl' Parameter CVE-2026-111255 |
affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display affiliate-toolkit-starter
プラグイン
|
high CVSS 7.5 | あり (3.9.3) | 0.52% (低い) |
| 2026-10-27 | Animated Text Block <= 1.2.6 - Missing Authorization to Unauthenticated Sensitive Information Exposure via 'id' Shortcode Attribute CVE-2026-116613 |
Animated Text Block – Add Typing and Looping Text Effects animated-text-block
プラグイン
|
high CVSS 7.5 | あり (1.2.7) | 0.28% (低い) |
| 2026-10-27 | Product Designer for WooCommerce WordPress | Lumise <= 2.1.2 - Unauthenticated Arbitrary File Read via 'design.stages[*].image' Parameter in Cart JSON Upload CVE-2026-15323 |
Product Designer for WooCommerce WordPress | Lumise lumise
プラグイン
|
high CVSS 7.5 | なし | 0.86% (低い) |
| 2026-10-27 | Event Booking Manager for WooCommerce <= 5.7.8 - Authenticated (Shop Manager+) Privilege Escalation to 'page' Parameter CVE-2026-109381 |
Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar mage-eventpress
プラグイン
|
high CVSS 7.2 | あり (5.7.9) | 0.43% (低い) |
| 2026-10-27 | MxChat <= 3.2.25 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'feedback' Parameter via mxchat_save_rating CVE-2026-110662 |
MxChat – AI Chatbot & Content Generation for WordPress mxchat-basic
プラグイン
|
high CVSS 7.2 | あり (3.2.26) | 0.31% (低い) |
| 2026-10-27 | Menu Cart for WooCommerce < 3.2.1 - Unauthenticated Stored Cross-Site Scripting CVE-2026-105972 |
Menu Cart for WooCommerce woocommerce-menu-bar-cart
プラグイン
|
high CVSS 7.2 | あり (3.2.1) | 0.29% (低い) |
| 2026-10-27 | Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation < 2.0.2 - Unauthenticated Server-Side Request Forgery CVE-2026-115225 |
Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation popup-by-supsystic
プラグイン
|
high CVSS 7.2 | あり (2.0.2) | 0.24% (低い) |
| 2026-10-27 | Prime Slider <= 4.7.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Content_Guard Regex Quote-Escape CVE-2026-111111 |
Prime Slider – Hero Slider, Carousel, WooCommerce & Post Slider Elementor Addons bdthemes-prime-slider-lite
プラグイン
|
high CVSS 7.2 | あり (4.7.3) | 0.24% (低い) |
| 2026-10-27 | AI Marketing Expert <= 1.2.8 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'name' Parameter CVE-2026-109999 |
AI Marketing Expert — AI Email Marketing, AI Content Generator, SEO Analyzer, AI Workflow Automation, Social Media & Ai Chatbot ai-marketing-expert
プラグイン
|
high CVSS 7.2 | あり (1.2.9) | 0.29% (低い) |
| 2026-10-27 | Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation < 2.0.2 - Authenticated (Administrator+) Remote Code Execution CVE-2026-115223 |
Customer Engagement System – Popup Builder, Forms, CRM & Email Marketing Automation popup-by-supsystic
プラグイン
|
high CVSS 7.2 | あり (2.0.2) | 0.42% (低い) |
| 2026-10-27 | AMP for WP <= 1.1.17 - Unauthenticated Stored Cross-Site Scripting via 'headline-*' Shortcode Attribute CVE-2026-97019 |
AMP for WP – Accelerated Mobile Pages accelerated-mobile-pages
プラグイン
|
high CVSS 7.2 | あり (1.1.18) | 0.24% (低い) |
| 2026-10-27 | affiliate-toolkit <= 3.9.2 - Unauthenticated Stored Cross-Site Scripting via 'atkp_product_producturl' Parameter CVE-2026-111314 |
affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display affiliate-toolkit-starter
プラグイン
|
high CVSS 7.2 | あり (3.9.3) | 0.24% (低い) |
| 2026-10-26 | Memberpress <= 1.14.1 - Cross-Site Request Forgery via 'user_email' Parameter CVE-2026-92797 |
Memberpress memberpress
プラグイン
|
high CVSS 8.8 | あり (1.14.2) | 0.15% (低い) |
| 2026-10-26 | Kirki <= 6.2.5 - Authenticated (Subscriber+) PHP Object Injection to Administrator Account Takeover via 'get-single-symbol' AJAX Endpoint CVE-2026-75891 |
Kirki – Freeform Page Builder, Website Builder & Customizer kirki
プラグイン
|
high CVSS 8.8 | あり (6.3.0) | 0.30% (低い) |
| 2026-10-26 | Rank Math SEO <= 1.0.276 - Authenticated (Contributor+) PHP Object Injection to Remote Code Execution CVE-2026-1928 |
Rank Math SEO – AI SEO Tools to Dominate SEO Rankings seo-by-rank-math
プラグイン
|
high CVSS 8.8 | あり (1.0.277) | 0.54% (低い) |
| 2026-10-26 | Analytics Insights <= 6.3.12 - Unauthenticated Stored Cross-Site Scripting via GA4 Realtime Page Title CVE-2026-111820 |
Analytics Insights – Google Analytics Dashboard for WordPress analytics-insights
プラグイン
|
high CVSS 7.2 | あり (6.4) | 0.24% (低い) |
| 2026-10-26 | Advanced Views <= 3.9.6 - Unauthenticated Stored Cross-Site Scripting via Comment Content CVE-2026-109995 |
Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode acf-views
プラグイン
|
high CVSS 7.2 | あり (3.9.7) | 0.24% (低い) |
| 2026-10-23 | aBlocks <= 2.17.0 - Authenticated (Contributor+) Privilege Escalation to 'roleSlug' Block Attribute CVE-2026-110018 |
aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder ablocks
プラグイン
|
high CVSS 8.8 | あり (2.18.0) | 0.39% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Arbitrary Non-Admin Account Takeover CVE-2026-94262 |
Advanced Custom Fields: Extended acf-extended
プラグイン
|
high CVSS 7.3 | あり (0.9.2.8) | 0.29% (低い) |
| 2026-10-22 | Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Arbitrary Non-Admin Account Takeover CVE-2026-94262 |
Advanced Custom Fields: Extended PRO acf-extended-pro
プラグイン
|
high CVSS 7.3 | あり (0.9.2.8) | 0.29% (低い) |
| 2026-10-22 | Datawiza Proxy Auth <= 1.1.0 - Unauthenticated Privilege Escalation CVE-2026-115214 |
Datawiza Proxy Auth Plugin – SSO reverse-proxy-auth-widget
プラグイン
|
high CVSS 7.3 | あり (1.1.1) | 0.28% (低い) |
| 2026-10-22 | LiteSpeed Cache < 7.9.2 - Unauthenticated Stored Cross-Site Scripting CVE-2026-113500 |
LiteSpeed Cache litespeed-cache
プラグイン
|
high CVSS 7.2 | あり (7.9.2) | 0.30% (低い) |
| 2026-10-22 | Duplicator <= 1.5.17 - Authenticated (Multisite Subsite Admin+) Arbitrary Code Execution CVE-2026-115251 |
Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More duplicator
プラグイン
|
high CVSS 7.2 | あり (5.0.0) | 0.31% (低い) |
| 2026-10-22 | Anti-Spam by CleanTalk <= 6.89.1 - Unauthenticated Stored Cross-Site Scripting via 'user_email' Registration Parameter CVE-2026-109198 |
CleanTalk Anti-Spam – Complete Spam Protection cleantalk-spam-protect
プラグイン
|
high CVSS 7.2 | あり (6.90) | 0.38% (低い) |
| 2026-10-22 | LiteSpeed Cache < 7.9.2 - Unauthenticated Stored Cross-Site Scripting CVE-2026-113499 |
LiteSpeed Cache litespeed-cache
プラグイン
|
high CVSS 7.2 | あり (7.9.2) | 0.30% (低い) |
| 2026-10-22 | Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE < 3.2.8 - Unauthenticated Stored Cross-Site Scripting CVE-2026-109936 |
Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE otter-blocks
プラグイン
|
high CVSS 7.2 | あり (3.2.8) | 0.28% (低い) |
| 2026-10-22 | Depicter — Popup & Slider Builder 4.0.5 - 4.8.1 - Authenticated (Editor+) Arbitrary File Upload CVE-2026-113472 |
Depicter — Popup & Slider Builder depicter
プラグイン
|
high CVSS 7.2 | あり (4.8.2) | 0.23% (低い) |
| 2026-10-21 | Newsletters <= 4.18.1 - Unauthenticated PHP Object Injection CVE-2026-94075 |
Newsletters newsletters-lite
プラグイン
|
high CVSS 8.1 | あり (4.18.2) | 0.45% (低い) |
| 2026-10-21 | Paytium: Mollie payment forms & donations <= 5.0.5 - Unauthenticated PHP Object Injection CVE-2026-114196 |
Paytium: Mollie payment forms & donations paytium
プラグイン
|
high CVSS 8.1 | あり (5.0.6) | 0.45% (低い) |
| 2026-10-21 | Product Filter for WooCommerce by WBW <= 3.4.6 - Unauthenticated SQL Injection CVE-2026-112866 |
Product Filter for WooCommerce by WBW woo-product-filter
プラグイン
|
high CVSS 7.5 | あり (3.4.7) | 0.36% (低い) |
この一覧の読み方
- 題名は提供元の原文 (英語) のままです。題名から当サイトの詳細ページへ移動し、そこから提供元の記録へもたどれます。
- 深刻度は提供元が付けたCVSSの評価です。実際の危険の大きさは、悪用の条件 (ログインが必要かどうか等) やサイトの設定によって変わります。
- 修正版が「あり」なら、そのバージョン以降へ更新してください。「なし」なら、更新を待つ間はその拡張を止めるか、代わりの拡張への切り替えをご検討ください。
- 更新の前には、必ずバックアップを取ってから行ってください。
- 当サイトは、個別のサイトに脆弱性を結び付けて表示することはありません。
使っている拡張が載っていたら
まず、自分のサイトが実際にその影響範囲のバージョンを使っているかを確認してください。 WordPress脆弱性診断 にURLを入れると、使用中のバージョンと照合した結果が出ます。
更新の頻度
脆弱性データは毎日1回、自動で取り込んでいます。 公開されたばかりのものも含まれますが、提供元への掲載から当サイトへの反映までに時間差が生じることがあります。 緊急の判断が必要な場合は、必ず提供元の公式アドバイザリをご確認ください。
出典とライセンス
本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。
- 脆弱性情報: Wordfence Intelligence (Defiant Inc.)
- CVEの一次情報: NVD (NIST National Vulnerability Database)
- 悪用の実績: CISA Known Exploited Vulnerabilities Catalog
- 悪用される確率: EPSS (FIRST.org)
- プラグイン・テーマのメタ情報: WordPress.org
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use
CVE® は The MITRE Corporation の登録商標です。