脆弱性情報の一覧
WordPressのプラグイン・テーマ・本体と、PHP本体の脆弱性を、深刻度、修正版の有無、 実際に悪用が確認されているか、今後30日以内に悪用される確率とあわせて並べています。 判定の根拠として使っているデータを、そのまま閲覧できるようにしたものです。
43,832
掲載中の既知脆弱性
31,883
すでに修正版が出ているもの
更新すれば防げます
更新すれば防げます
13
実際に悪用が確認されたもの
CISA KEV 登録済み
CISA KEV 登録済み
10月30日
データの最終更新
「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPressのプラグインが登録されること自体がほとんどありません。 つまりこの数は、悪用の総数ではなく、米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各行のEPSS (今後30日以内に悪用される確率) をご覧ください。
中: 2,924 件 (1 / 59 ページ)
表は横にスクロールできます。見出しの列幅に収まらない場合は、左右に動かしてご覧ください。
| 公表日 | 脆弱性 | 対象 | 深刻度 | 修正版 | 悪用 |
|---|---|---|---|---|---|
| 2026-10-29 | Page and Post Restriction <= 1.6.1 - Unauthenticated Authentication Bypass via REST API Nonce Bypass via Cookie Re-Authentication CVE-2026-118194 |
Page and Post Restriction page-and-post-restriction
プラグイン
|
medium CVSS 6.5 | あり (1.6.2) | - |
| 2026-10-29 | JoomSport <= 5.7.14 - Authenticated (Contributor+) SQL Injection via 'pgroup' Shortcode Attribute CVE-2026-118698 |
JoomSport – for Sports: Team & League, Football, Hockey & more joomsport-sports-league-results-management
プラグイン
|
medium CVSS 6.5 | あり (5.7.15) | - |
| 2026-10-29 | Forminator Forms <= 1.55.0.2 - Unauthenticated Limited File Deletion via Draft Upload Metadata CVE-2026-5461 |
Forminator Forms – Contact Form, Payment Form & Custom Form Builder forminator
プラグイン
|
medium CVSS 6.5 | あり (1.55.1) | - |
| 2026-10-29 | Cool FormKit Lite <= 2.7.9 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Form Field custom_id Parameter CVE-2026-118500 |
Cool FormKit Lite – Advanced Form Builder for Elementor extensions-for-elementor-form
プラグイン
|
medium CVSS 6.4 | あり (2.7.10) | - |
| 2026-10-29 | Events Made Easy <= 3.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode Attribute CVE-2026-118634 |
Events Made Easy events-made-easy
プラグイン
|
medium CVSS 6.4 | あり (3.3.2) | - |
| 2026-10-29 | Content Egg <= 12.0.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Post Meta Modification via 'post_id' Parameter via cegg_update_products AJAX Action CVE-2026-119059 |
Content Egg – Affiliate Product Importer & Price Comparison content-egg
プラグイン
|
medium CVSS 4.3 | あり (12.1.0) | - |
| 2026-10-29 | Content Egg <= 12.0.0 - Missing Authorization to Authenticated (Author+) Administrator-Authored Post Creation via 'preset_id' Parameter CVE-2026-119087 |
Content Egg – Affiliate Product Importer & Price Comparison content-egg
プラグイン
|
medium CVSS 4.3 | あり (12.1.0) | - |
| 2026-10-28 | JoomSport <= 5.7.11 - Authenticated (Contributor+) SQL Injection via 'team_id' Shortcode Attribute CVE-2026-118192 |
JoomSport – for Sports: Team & League, Football, Hockey & more joomsport-sports-league-results-management
プラグイン
|
medium CVSS 6.5 | あり (5.7.14) | 0.44% (低い) |
| 2026-10-28 | WordPress Core 5.0.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Customizer Selective Refresh |
WordPress wordpress
本体
バージョン帯 22 件
|
medium CVSS 6.4 | あり (5.0.31) | - |
| 2026-10-28 | WordPress Core 6.4.0 - 7.1.3 - Authenticated (Author+) Stored Cross-Site Scripting via Interactivity Router Uploaded Text Files |
WordPress wordpress
本体
バージョン帯 8 件
|
medium CVSS 6.4 | あり (6.6.11) | - |
| 2026-10-28 | Password Protected <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Freemius purchase_completed Handler CVE-2026-93293 |
Password Protected — Lock Entire Site, Pages, Posts, Categories, and Partial Content password-protected
プラグイン
|
medium CVSS 6.4 | あり (2.8.5) | 0.19% (低い) |
| 2026-10-28 | WordPress Core 5.0.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Non-HTML Whitespace in Block Delimiters |
WordPress wordpress
本体
バージョン帯 22 件
|
medium CVSS 6.4 | あり (5.0.31) | - |
| 2026-10-28 | WordPress Core 6.4.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API Prototype Pollution |
WordPress wordpress
本体
バージョン帯 8 件
|
medium CVSS 6.4 | あり (6.4.14) | - |
| 2026-10-28 | WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API Event Handler Bindings |
WordPress wordpress
本体
バージョン帯 6 件
|
medium CVSS 6.4 | あり (6.6.11) | - |
| 2026-10-28 | WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity API URL Bindings |
WordPress wordpress
本体
バージョン帯 6 件
|
medium CVSS 6.4 | あり (6.4.14) | - |
| 2026-10-28 | WordPress Core 5.9.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Navigation Block Labels |
WordPress wordpress
本体
バージョン帯 13 件
|
medium CVSS 6.4 | あり (5.9.20) | - |
| 2026-10-28 | LiteSpeed Cache <= 7.9.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via VPI Image Attribute Re-Serialization CVE-2026-109215 |
LiteSpeed Cache litespeed-cache
プラグイン
|
medium CVSS 6.4 | あり (7.9.2) | 0.33% (低い) |
| 2026-10-28 | Sequential Order Numbers for WooCommerce <= 3.6.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'condition' Post Meta Array Keys CVE-2026-104727 |
Sequential Order Numbers for WooCommerce sequential-order-numbers-for-woocommerce
プラグイン
|
medium CVSS 6.4 | あり (3.7) | 0.35% (低い) |
| 2026-10-28 | WordPress Core 6.6.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Interactivity Script Module Data Shadowing |
WordPress wordpress
本体
バージョン帯 6 件
|
medium CVSS 6.4 | あり (6.6.11) | - |
| 2026-10-28 | WordPress Core 6.4.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image and Playlist Blocks |
WordPress wordpress
本体
バージョン帯 8 件
|
medium CVSS 6.4 | あり (6.4.14) | - |
| 2026-10-28 | WordPress Core 6.7.0 - 7.1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Categories Block |
WordPress wordpress
本体
バージョン帯 5 件
|
medium CVSS 6.4 | あり (6.7.11) | - |
| 2026-10-28 | Everest Forms <= 3.6.2 - Reflected Cross-Site Scripting via 'evf_toast_type' Parameter CVE-2026-91152 |
Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI everest-forms
プラグイン
|
medium CVSS 6.1 | あり (3.6.3) | 0.35% (低い) |
| 2026-10-28 | Extensions for Leaflet Map <= 5.4 - Unauthenticated Stored DOM-Based Cross-Site Scripting via External GeoJSON Property CVE-2026-103485 |
Extensions for Leaflet Map extensions-leaflet-map
プラグイン
|
medium CVSS 5.4 | あり (6.0) | 0.34% (低い) |
| 2026-10-28 | Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Split Text innerText CVE-2026-107629 |
Greenshift – animation and page builder blocks greenshift-animation-and-page-builder-blocks
プラグイン
|
medium CVSS 5.4 | あり (13.2.2) | 0.34% (低い) |
| 2026-10-28 | Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Nested Latest Comments Block CVE-2026-107627 |
Greenshift – animation and page builder blocks greenshift-animation-and-page-builder-blocks
プラグイン
|
medium CVSS 5.4 | あり (13.2.2) | 0.33% (低い) |
| 2026-10-28 | LiteSpeed Cache <= 7.9.1 - Unauthenticated Stored Cross-Site Scripting via HTML Minifier Predictable Placeholder (md5(REQUEST_TIME) + two-pass str_replace) CVE-2026-116763 |
LiteSpeed Cache litespeed-cache
プラグイン
|
medium CVSS 5.4 | あり (7.9.2) | 0.34% (低い) |
| 2026-10-28 | HT Mega Addons for Elementor <= 3.2.7 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Tabs Widget href DOM Sink CVE-2026-111318 |
HT Mega Addons for Elementor – Elementor Widgets & Template Builder ht-mega-for-elementor
プラグイン
|
medium CVSS 5.4 | あり (3.2.8) | 0.34% (低い) |
| 2026-10-28 | WordPress Core 4.9.0 - 7.1.3 - Unauthenticated Sensitive Information Exposure via Customizer Changesets |
WordPress wordpress
本体
バージョン帯 23 件
|
medium CVSS 5.3 | あり (4.9.35) | - |
| 2026-10-28 | MW WP Form <= 5.1.7 - Unauthenticated Sensitive Information Exposure in 'post_id' Parameter CVE-2026-92086 |
MW WP Form mw-wp-form
プラグイン
|
medium CVSS 5.3 | あり (5.1.8) | - |
| 2026-10-28 | Everest Forms <= 3.6.2 - Unauthenticated Sensitive Information Exposure via Smart-Tag Injection in Smart-Tag Injection in Form Field Values ({post_meta key=...}) CVE-2026-91153 |
Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI everest-forms
プラグイン
|
medium CVSS 5.3 | あり (3.6.3) | 0.61% (低い) |
| 2026-10-28 | WordPress Core 4.7.0 - 7.1.3 - Authenticated (Custom+) Stored Cross-Site Scripting via Externally-Supplied User Login Values |
WordPress wordpress
本体
バージョン帯 25 件
|
medium CVSS 4.9 | あり (4.7.39) | - |
| 2026-10-28 | Meta Box <= 5.15.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Background Field Array Keys CVE-2026-109216 |
Meta Box – A Framework for Dynamic Websites meta-box
プラグイン
|
medium CVSS 4.9 | あり (5.15.3) | - |
| 2026-10-28 | Media Library Assistant <= 3.42 - Reflected Cross-Site Scripting via 'search-string' Parameter via {+request:...+} in Pagination Links CVE-2026-103875 |
Media Library Assistant media-library-assistant
プラグイン
|
medium CVSS 4.7 | あり (3.43) | 0.30% (低い) |
| 2026-10-28 | RSS Aggregator by Feedzy <= 5.2.12 - Unauthenticated Stored Cross-Site Scripting via YouTube media:description Feed Element CVE-2026-110707 |
RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator feedzy-rss-feeds
プラグイン
|
medium CVSS 4.7 | あり (5.2.13) | 0.30% (低い) |
| 2026-10-27 | WP Visitor Statistics (Real Time Traffic) <= 8.8 - Authenticated (Contributor+) SQL Injection via 'from' Shortcode Attribute CVE-2026-116609 |
WP Visitor Statistics (Real Time Traffic) wp-stats-manager
プラグイン
|
medium CVSS 6.5 | あり (8.9) | 0.34% (低い) |
| 2026-10-27 | Rich Showcase for Google Reviews <= 7.1.6 - Missing Authorization to Authenticated (Contributor+) Site Secret Disclosure via 'grw_auth_code' Site Secret Disclosure via grw-builder Admin Page CVE-2026-110020 |
Rich Showcase for Google Reviews widget-google-reviews
プラグイン
|
medium CVSS 6.5 | あり (7.1.7) | 0.38% (低い) |
| 2026-10-27 | VikRentCar Car Rental Management System <= 1.4.10 - Authenticated (Contributor+) SQL Injection via 'catid' Block Attribute CVE-2026-116750 |
VikRentCar Car Rental Management System vikrentcar
プラグイン
|
medium CVSS 6.5 | あり (1.4.11) | 0.26% (低い) |
| 2026-10-27 | Recipe Card Blocks Lite 3.5.0 - 3.6.3 - Authenticated (Contributor+) SQL Injection CVE-2026-115281 |
Recipe Card Blocks Lite recipe-card-blocks-by-wpzoom
プラグイン
|
medium CVSS 6.5 | あり (3.6.4) | 0.30% (低い) |
| 2026-10-27 | WP Inventory Manager <= 2.5.5 - Authenticated (Contributor+) SQL Injection via 'sort_order' Shortcode Attribute CVE-2026-76005 |
WP Inventory Manager wp-inventory-manager
プラグイン
|
medium CVSS 6.5 | あり (2.5.6) | 0.28% (低い) |
| 2026-10-27 | Royal Addons for Elementor – Addons and Templates Kit for Elementor 1.7.1037 - 1.7.1069 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-107098 |
Royal Addons for Elementor – Addons and Templates Kit for Elementor royal-elementor-addons
プラグイン
|
medium CVSS 6.4 | あり (1.7.1070) | 0.32% (低い) |
| 2026-10-27 | Awesome Support <= 6.4.1 - Authenticated (Custom+) Stored Cross-Site Scripting via Ticket Attachment MIME Confusion CVE-2026-103370 |
Awesome Support – WordPress HelpDesk & Support Plugin awesome-support
プラグイン
|
medium CVSS 6.4 | あり (6.4.2) | 0.26% (低い) |
| 2026-10-27 | If-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via ifso-redirect Shortcode 'url' Attribute CVE-2026-103996 |
If-So Dynamic Content – Elementor & All Page Builders Personalization if-so
プラグイン
|
medium CVSS 6.4 | あり (1.10.3) | 0.24% (低い) |
| 2026-10-27 | UiChemy <= 5.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Slot Link URL CVE-2026-109385 |
UiChemy – Convert Figma, Prompts and AI Builds to Elementor, Gutenberg and Bricks uichemy
プラグイン
|
medium CVSS 6.4 | あり (5.4.0) | 0.26% (低い) |
| 2026-10-27 | Travelly <= 2.3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width', 'height', and 'zoom' Shortcode Attributes CVE-2026-109590 |
Travelly – Tour & Travel Booking Manager for WooCommerce tour-booking-manager
プラグイン
|
medium CVSS 6.4 | あり (2.3.8) | 0.24% (低い) |
| 2026-10-27 | s2Member <= 261011 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'date_format' Shortcode Attribute CVE-2026-109972 |
s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions s2member
プラグイン
|
medium CVSS 6.4 | あり (261017) | 0.27% (低い) |
| 2026-10-27 | Page Builder by SiteOrigin < 2.38.0 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-110506 |
Page Builder by SiteOrigin siteorigin-panels
プラグイン
|
medium CVSS 6.4 | あり (2.38.0) | 0.32% (低い) |
| 2026-10-27 | If-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'conversion' Shortcode Attribute CVE-2026-104740 |
If-So Dynamic Content – Elementor & All Page Builders Personalization if-so
プラグイン
|
medium CVSS 6.4 | あり (1.10.3) | 0.24% (低い) |
| 2026-10-27 | GeoDirectory – WP Business Directory Plugin and Classified Listings Directory < 2.8.196 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-113488 |
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory geodirectory
プラグイン
|
medium CVSS 6.4 | あり (2.8.196) | 0.32% (低い) |
| 2026-10-27 | Waitlist Woocommerce ( Back in stock notifier ) <= 2.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'type' Shortcode Attribute CVE-2026-77188 |
Waitlist Woocommerce ( Back in stock notifier ) waitlist-woocommerce
プラグイン
|
medium CVSS 6.4 | あり (2.9.2) | 0.19% (低い) |
| 2026-10-27 | GeoDirectory – WP Business Directory Plugin and Classified Listings Directory < 2.8.196 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2026-113487 |
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory geodirectory
プラグイン
|
medium CVSS 6.4 | あり (2.8.196) | 0.32% (低い) |
この一覧の読み方
- 題名は提供元の原文 (英語) のままです。題名から当サイトの詳細ページへ移動し、そこから提供元の記録へもたどれます。
- 深刻度は提供元が付けたCVSSの評価です。実際の危険の大きさは、悪用の条件 (ログインが必要かどうか等) やサイトの設定によって変わります。
- 修正版が「あり」なら、そのバージョン以降へ更新してください。「なし」なら、更新を待つ間はその拡張を止めるか、代わりの拡張への切り替えをご検討ください。
- 更新の前には、必ずバックアップを取ってから行ってください。
- 当サイトは、個別のサイトに脆弱性を結び付けて表示することはありません。
使っている拡張が載っていたら
まず、自分のサイトが実際にその影響範囲のバージョンを使っているかを確認してください。 WordPress脆弱性診断 にURLを入れると、使用中のバージョンと照合した結果が出ます。
更新の頻度
脆弱性データは毎日1回、自動で取り込んでいます。 公開されたばかりのものも含まれますが、提供元への掲載から当サイトへの反映までに時間差が生じることがあります。 緊急の判断が必要な場合は、必ず提供元の公式アドバイザリをご確認ください。
出典とライセンス
本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。
- 脆弱性情報: Wordfence Intelligence (Defiant Inc.)
- CVEの一次情報: NVD (NIST National Vulnerability Database)
- 悪用の実績: CISA Known Exploited Vulnerabilities Catalog
- 悪用される確率: EPSS (FIRST.org)
- プラグイン・テーマのメタ情報: WordPress.org
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use
CVE® は The MITRE Corporation の登録商標です。