ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
WordPressプラグインの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory — CVE-2026-111069
Twitterユーザー名の入力確認が不十分で、あとから表示されるときに不正なスクリプトが動く問題です。会員や出店者など、登録ユーザーが細工した内容を保存できると被害につながります。
2.8.192 以前を使っている場合は更新してください。入力制限を画面だけでなくサーバー側でも見直...
WP Booking System – Booking Calendar — CVE-2026-111178
予約一覧の並び替え条件の確認が不十分で、管理者権限の利用者がデータベースに不正な命令を混ぜられる問題です。特定条件下で、予約情報を抜き取られるおそれがあります。
2.1.0.1 以前を使っている場合は更新してください。予約件数が多いサイトでは特に確認が必要です...
Premium Packages – Sell Digital Products Securely — CVE-2026-110664
メモ欄に入れた内容が正しく消毒されず、あとから画面に表示されるときに不正なJavaScriptが動く問題です。ログイン済みの利用者が細工した内容を保存できると、閲覧者に影響します。
7.2.8 以前を使っている場合は更新してください。入力欄の表示確認を行い、不要な権限の見直しと...
CP Multi View Events Calendar — CVE-2026-110701
カレンダー名の入力確認が不十分で、保存した内容がそのまま画面で実行される問題です。管理者が前面編集を有効にしていると、ログインなしでも悪用されるおそれがあります。
1.4.42 以前を使っている場合は更新してください。前面編集を使っているなら特に注意し、不要な...
WPeMatico RSS Feed Fetcher — CVE-2026-110252
RSSの取り込み内容が十分に確認されず、悪意あるフィードを読み込むと不正なスクリプトが記事に入る問題です。ログインしていない攻撃者でも、管理者が登録したフィード経由で被害を起こせます。
2.9 以前を使っている場合は更新してください。登録中のRSSフィードを見直し、怪しい配信元は解...
OTP Login & Register Woocommerce — CVE-2026-110135
ワンタイムパスワードの試行回数の管理が不十分で、制限を回避されるおそれがあります。短い数字コードを総当たりで当てられ、アカウントを乗っ取られる可能性があります。
2.7.3 以降へアップデートしてください。OTPログインを使っている場合は、試行回数制限や不審ロ...
Salon Booking System — CVE-2026-110014
予約を作るときの確認が不十分で、外部の人でも予約を登録できてしまいます。さらに、他人の連絡先情報を書き換えたり、支払い済み・確定済みに見せかけたりできます。
10.31.9 以降へ早急にアップデートしてください。管理画面の権限設定も見直し、予約内容に不審な...
MB Custom Post Types & Custom Taxonomies — CVE-2026-109982
移行機能の実行時に、権限確認や追加確認が不足しています。ログインしているだけの利用者でも、設定を壊す移行処理を実行できてしまいます。
2.12.2 以降へアップデートしてください。移行機能の利用権限を見直し、必要なら制作会社や保守...
Salon Booking System — CVE-2026-110012
予約の一覧を読む機能に、利用者ごとの制限が足りません。一般ユーザーでも、他のお客様の予約内容を見られてしまいます。
10.31.3 以降へアップデートしてください。予約データへのアクセス権限を見直し、不要なアカウン...
affiliate-toolkit — CVE-2026-110179
並び替えの値の確認が不十分で、データベースに不正な命令を混ぜられる可能性があります。編集者など権限の低い管理画面利用者でも、情報を引き出せてしまいます。
3.8.9 以降へアップデートしてください。編集者以上の権限を持つユーザーを見直し、不要な権限は...
Salon Booking System — CVE-2026-110015
REST APIの本人確認が不十分で、ログイン中の管理者の操作として不正な要求を送れてしまいます。誘導用のリンクを踏ませるだけで、管理者権限の操作につながるおそれがあります。
10.31.9 以降へアップデートしてください。管理者には不審なリンクを開かないよう周知し、念のた...
Smush — CVE-2026-110039
マルチサイト環境で、ネットワーク全体に影響する設定を、権限の低い管理者が変更できてしまいます。本来はネットワーク管理者だけに許すべき操作です。
4.3.4 以降へ更新してください。マルチサイトで運用している場合は、ネットワーク管理者の権限設...
Product Delivery Date for WooCommerce — CVE-2026-110191
Product Delivery Date for WooCommerce 3.3.2より前の版に、注文の詳細を見せてしまう問題があります。権限の確認が足りず、低い権限の利用者でも他のお客様の注文情報を見られるおそれがあります。
3.3.2へすぐ更新してください。更新できない場合は、プラグインの利用を一時停止し、制作会社や...
Salon Booking System — CVE-2026-110013
予約APIの確認用トークンが安全に作られておらず、発行時刻などから推測できる問題です。条件がそろうと、他人の権限でAPIに入られるおそれがあります。
10.31.9 以上へ更新してください。予約APIを使っている場合は、トークンの再発行と権限の見直し...
HivePress – Business Directory, Listings & Classified Ads Plugin — CVE-2026-109193
WordPressプラグインの HivePress に、入力内容を悪用される問題があります。特定のユーザー属性の表示方法を工夫した設定で、細工したスクリプトが保存され、ページ閲覧時に動いてしまうおそれがあります。
1.7.32 までを使っている場合は、更新版の有無を確認して適用してください。カスタム属性の表示...
WP Mail Logging — CVE-2026-109401
メールの検索条件の扱いが不十分で、他人のメール記録を読み出せることがあります。宛先や本文、URLまで見えてしまう可能性があります。
1.17.0 以降へアップデートしてください。個人データの出力機能を使う担当者と手順も確認してく...
WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents — CVE-2026-109382
ログインしているだけの利用者でも、下書きや予約投稿の記事情報を読めてしまいます。公開前の記事の題名やURLなどが外部に見えるおそれがあります。
修正版が出ているか確認し、あれば適用してください。下書き管理をしているサイトでは、利用者権...
HivePress – Business Directory, Listings & Classified Ads Plugin — CVE-2026-109388
投稿内容の確認が不十分で、悪意のあるスクリプトを仕込めてしまいます。ページを見たときに、ブラウザ上で不正な処理が実行されるおそれがあります。
1.7.32 以降へアップデートしてください。ユーザー投稿を受け付けている場合は、承認制や入力制...
TranslatePress – Translate Multilingual sites with AI Translation — CVE-2026-107768
WordPressプラグインの TranslatePress に、書き込まれた内容がそのまま悪用される問題があります。コメント欄の入力を十分に確認していないため、細工したスクリプトがページに保存され、閲覧時に実行されるおそれがあります。
3.3.7 までを使っている場合は、修正版が出ていないか確認し、すぐに更新してください。更新でき...
Photo Engine (Media Organizer & Lightroom) — CVE-2026-107770
本来許可が必要なメディアの削除や追加が、権限確認なしで実行できてしまいます。さらに、別の経路で認証用の情報が漏れるため、攻撃に悪用されるおそれがあります。
修正版の有無を確認し、提供元の案内に従ってください。使っていない場合は停止・削除を検討し、...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。