CMS・ECサイトの脆弱性情報

WP Booking System – Booking Calendar — CVE-2026-108123

予約管理プラグインで、認証や権限の確認が不十分なため、管理者だけのはずの通知メール本文が見えてしまう問題です。予約に関する氏名、メール、電話番号、メッセージなどが漏れる可能性があります。

2.1.0.3 以前を使っているなら、すぐ更新してください。管理者以外が予約情報に触れられる設定や...

EU VAT Assistant for WooCommerce — CVE-2026-103899

WooCommerce 用の税関連プラグインで、入力した文字がそのまま画面に反映されてしまう問題です。悪意ある内容が保存されると、注文確認時などに管理者の画面で勝手に動く可能性があります。

2.1.30.260413 以前を使っている場合は、すぐ更新してください。注文画面や管理画面を使う担当者...

Kirki – Freeform Page Builder, Website Builder & Customizer — CVE-2026-107762

ページ作成用プラグインで、ユーザーを呼び出す指定が適切に確認されず、他人のプロフィール情報が見えてしまう問題です。公開ページに特定の部品があると、未ログインでも個人情報を取得できる可能性があります。

6.3.2 以前を使っている場合は、修正版への更新をしてください。公開ページでユーザー情報を出す...

LearnPress – WordPress LMS Plugin for Create and Sell Online Courses — CVE-2026-109208

学習コース用プラグインで、入力内容のチェックが足りず、悪意ある文字列が保存される問題です。ゲスト購入を使っている場合は未ログインでも、画面を開いた人のブラウザで不正な動作が起きる可能性があります。

4.4.10 以前を使っている場合は、すぐ更新してください。ゲスト購入を使っているなら、設定も含...

Kirki – Freeform Page Builder, Website Builder & Customizer — CVE-2026-104734

このプラグインでは、管理者以上の権限を持つユーザーが、想定外のデータを読み込ませられる問題があります。別のプラグインやテーマに弱い仕組みがあると、悪用されるおそれがあります。

まず、6.3.2以前を使っていないか確認してください。更新版が出ていればすぐ適用し、あわせて他...

WP Sessions Time Monitoring Full Automatic — CVE-2026-107648

このプラグインでは、特定の入力欄に入れた悪意ある内容が保存され、あとでページ表示時に動く問題があります。未認証の攻撃者でも悪用できるおそれがあります。

1.1.5以前を使っているなら、すぐ更新してください。更新版がない場合は一時停止や削除を検討し...

GoSMTP Pro — CVE-2026-96768

このプラグインでは、メールログに入った悪意ある内容が保存され、あとで表示時に動く問題があります。未認証の攻撃者でも悪用できるおそれがあります。

1.2.3以前を使っているなら、すぐ更新してください。メールログを表示する画面や、コメント入力...

DoubleScale CRM | All-in-One CRM – Sales, Multi-Channel Marketing, Newsletter, Booking, Helpdesk, Automation, MCP & More — CVE-2026-111311

このプラグインでは、ログインした利用者が危険なファイルをアップロードできる問題があります。拡張子の確認が甘く、実行できるファイルが紛れ込むおそれがあります。

1.5.1以前を使っているなら、すぐ更新してください。Helpdesk機能を使っている場合は特に注意し...

SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments — CVE-2026-109224

WordPress用のSureCartで、投稿内のコメント内容を十分に確認しないままページに表示してしまう問題があります。条件がそろうと、悪意ある文字を仕込まれたページを見たときに不正な動作が起きます。

4.9.4以下を使っているなら、修正版が出ていないか確認し、すぐ更新してください。更新できない...

Vitepos – Point of Sale (POS) for WooCommerce — CVE-2026-92766

このプラグインでは、入力欄の値を悪用してデータベースを不正に読み出せる問題があります。未認証の攻撃者でも、条件次第で情報を抜き取れるおそれがあります。

3.5.1以前を使っているなら、すぐ更新してください。POS権限の見直しも行い、不要な利用者に権限...

Vulnity Security — CVE-2026-75903

WordPress用のVulnity Securityで、ログイン用の情報ファイルの守りが不十分な問題があります。条件がそろうと、第三者が管理者として不正ログインできるおそれがあります。

1.4.3以下を使っているなら、すぐ更新してください。Nginx環境では特に注意が必要なので、制作会...

User Registration PRO – Custom Registration Form, Login Form, and User Profile WordPress Plugin — CVE-2026-87111

WordPress用のUser Registration PROで、送られてくる参照元情報を十分に確認しない問題があります。これにより、ログインしていない人でも不正な文字をページに仕込める場合があります。

6.2.9以下を使っている場合は、まず更新情報を確認してください。無料版にはない問題なので、プ...

YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports — CVE-2026-92553

WordPress用のYaySMTPで、アップロードするファイルの確認が不十分な問題があります。権限を持つ利用者が、危険なファイルを置けてしまう可能性があります。

2.7.7以下を使っているなら、直ちに更新してください。サーバーがnginxかApacheかも含めて、保守...

WPConsent – Cookie Banner & Cookie Consent for Privacy Compliance (GDPR / CCPA / EU Compliance Cookie Notice) — CVE-2026-97640

WordPress用のWPConsentで、コメント内容を安全に整えきれない問題があります。特定の条件をそろえると、ログインしていない人でも不正なスクリプトを仕込めます。

1.1.9以下を使っていてScript Blockingを有効にしているなら、すぐ更新を確認してください。コメ...

WP Photo Album Plus — CVE-2026-92115

WordPress用の画像アルバム機能で、ログイン済みの利用者が細工した値を送ると、サーバー上で勝手にコマンドを実行できる問題です。画像変換機能が有効な環境で起き、権限設定によっては低い権限の人でも悪用されるおそれがあります。

9.3.02.002 以前を使っている場合は、提供元の修正版が出ていないか確認してください。管理画面...

CP Multi View Events Calendar — CVE-2026-110701

カレンダー名の入力確認が不十分で、保存した内容がそのまま画面で実行される問題です。管理者が前面編集を有効にしていると、ログインなしでも悪用されるおそれがあります。

1.4.42 以前を使っている場合は更新してください。前面編集を使っているなら特に注意し、不要な...

OTP Login & Register Woocommerce — CVE-2026-110135

ワンタイムパスワードの試行回数の管理が不十分で、制限を回避されるおそれがあります。短い数字コードを総当たりで当てられ、アカウントを乗っ取られる可能性があります。

2.7.3 以降へアップデートしてください。OTPログインを使っている場合は、試行回数制限や不審ロ...

Salon Booking System — CVE-2026-110015

REST APIの本人確認が不十分で、ログイン中の管理者の操作として不正な要求を送れてしまいます。誘導用のリンクを踏ませるだけで、管理者権限の操作につながるおそれがあります。

10.31.9 以降へアップデートしてください。管理者には不審なリンクを開かないよう周知し、念のた...