WordPressプラグインの脆弱性情報

LiteSpeed Cache — CVE-2026-113499

LiteSpeed Cache の古い版では、HTMLを書き換える処理が属性の区切りを壊してしまい、コメント内容と組み合わさると不正なスクリプトが埋め込まれることがあります。閲覧した人のブラウザーで動くおそれがあります。

7.9.2 以降へ更新してください。最適化設定を使っている場合は、更新後にフロント画面の表示を確...

User Profile Builder — CVE-2026-111982

User Profile Builder の古い版では、編集画面で誰の情報を変えるかの確認が不十分です。マルチサイトの下位サイト管理者が、別ユーザーのメールアドレスを変更できる場合があります。

4.0.5 以降へアップデートしてください。マルチサイト運用なら、権限設定と管理者の範囲を見直し...

Otter Blocks — CVE-2026-109936

Otter Blocks の古い版では、ブロック表示の途中で文字の区切りが壊れ、見た目の情報に不正なスクリプトが入り込むことがあります。未ログインの人でも、表示されたページで勝手に動くおそれがあります。

3.2.8 以降へ更新してください。影響を受けるページがないか確認し、必要なら該当ブロックの見直...

Music Store – WordPress eCommerce — CVE-2026-115497

WordPressのプラグイン「Music Store – WordPress eCommerce」に、サーバー内の別ファイルを読めてしまう問題があります。条件がそろうと、設定ファイルなどの大事な情報が盗まれるおそれがあります。

最新版への更新可否を確認し、更新がない場合は利用停止や削除を検討してください。購入リンクの...

CleanTalk Anti-Spam – Complete Spam Protection — CVE-2026-109198

WordPressのプラグイン「CleanTalk Anti-Spam – Complete Spam Protection」に、入力値の確認不足がある問題があります。登録機能が有効なサイトでは、不正なスクリプトを保存されるおそれがあります。

6.89.1より後の修正版があるか確認し、なければ一時停止も検討してください。ユーザー登録を許可...

JetBackup — CVE-2026-104068

WordPressの「JetBackup」に、バックアップの取り込み時に不正なファイルを書き込める問題があります。管理者が細工されたバックアップを扱うと、想定外の場所にファイルが置かれるおそれがあります。

3.1.24.10以上へすぐ更新してください。バックアップの取り込み元が信頼できるものか、運用ルー...

NotificationX — CVE-2022-51021

WordPressのプラグイン「NotificationX」に、データベースを不正に操作される問題があります。特別な値を送ることで、保存情報を読み出されるおそれがあります。

2.3.12以上へ更新してください。外部から呼べるAPIがあるため、更新前後で不審なアクセスがない...

Ad Widget — CVE-2017-20289

WordPressのプラグイン「Ad Widget」に、サーバー内のファイルを読み込まれる問題があります。ログイン済みの利用者が細工した値を送ると、意図しないPHPファイルを実行されるおそれがあります。

2.12.0以上へ更新してください。不要ならプラグインを停止し、利用者権限も必要最小限に見直して...

WebP Express — CVE-2026-97328

画像の出し方によって、悪意ある内容がページに入り込む問題です。閲覧した人のブラウザ上で不正な処理が動く可能性があります。

0.25.16 へ更新してください。非標準の画像配信設定を使っている場合は特に早急に確認し、保守会...

Royal MCP — CVE-2026-111958

プレビュー用の合言葉が、1回だけの利用に制限されていない問題です。入手した人が管理者としてサイト全体に入れてしまうおそれがあります。

1.5.7 へ更新してください。プレビューリンクの扱いを見直し、漏えいしたリンクがないか確認して...

HIPAA Forms — CVE-2026-109927

HIPAA Forms の古い版では、権限の確認が不十分な処理があります。すでにその役割を持つ利用者が、管理者に近い強い権限を持ててしまうおそれがあります。

3.3.2 へ更新してください。役割設定を使っている場合は、利用者の権限を見直してください。思い...

PixelYourSite — CVE-2026-109987

Cookie の値を画面に出すときの確認が不十分で、不正な内容が保存される問題です。サイトがキャッシュを使っていると、別の訪問者にも被害が広がります。

PixelYourSite は 11.4.3 へ、PixelYourSite Pro は 12.6.8 へ更新してください。全ページキャッ...

WordPress Team Members – GS Plugins — CVE-2026-110369

WordPress Team Members – GS Plugins の古い版では、信頼できないデータの扱いに問題があります。細工したデータを使われると、内部で想定外の処理を起こされるおそれがあります。

2.8.2 以下を使っているなら、提供元の修正版を確認してすぐ更新してください。更新できない場合...

Jane Menu — CVE-2026-85683

Jane Menu の古い版では、外部の文書を読み込んでページに表示する処理に問題があります。細工された内容を使われると、ページを見た人のブラウザで勝手に動くコードが実行されるおそれがあります。

1.5.1 へ更新してください。外部文書を使う設定は見直し、不要なら無効化してください。管理画面...

Click n Chat (Chat Widget Integration) — CVE-2026-92998

並び替えの条件を十分に確認しておらず、データベースに不正な命令を混ぜ込まれる問題です。ログインしていない相手からでも攻撃されるおそれがあります。

1.1.3 へ更新してください。問い合わせデータに不審な動きがないか確認し、不要なら一時停止も検...

Formidable Forms — CVE-2026-85642

支払い確認の回数制限の仕組みが不十分で、第三者に使い切られるおそれがあります。その結果、正規の確認が24時間ほど通らなくなる可能性があります。

7.0 へ更新してください。決済まわりで確認失敗が続く場合は、保守会社や制作会社に相談しましょ...

Translate WordPress with Weglot 2.0 — CVE-2026-88784

翻訳ページに戻すURLの扱いに問題があり、悪意ある内容をページに埋め込める不具合です。閲覧者のブラウザ上で勝手に動くコードが実行されることがあります。

6.4.3 へ更新してください。翻訳ページで不審な表示がないか確認し、古いリンクや入力内容も見直...

Click n Chat (Chat Widget Integration) — CVE-2026-92997

データベースの列名の扱いに問題があり、不正な命令を実行されるおそれがあります。ログインしていない相手からでも攻撃される可能性があります。

1.1.3 へ更新してください。怪しいアクセスがないか確認し、必要なら一時的に停止してください。

Advanced File Manager — CVE-2026-79627

SVGファイルの確認が不十分で、見た目は画像でも中にあるコードが動くことがあります。管理者に許可された利用者が置いたファイルでも、開くと実行される可能性があります。

6.0.0 へ更新してください。ファイル管理権限を見直し、SVGの利用を必要最小限にしましょう。

Redirection for Contact Form 7 — CVE-2026-111574

Redirection for Contact Form 7で、送信内容を安全にしてから表示していません。細工した入力が保存され、デバッグ画面を見ると不正なスクリプトが動く可能性があります。

3.2.12以降へ更新してください。デバッグモードは必要な時だけ使い、不要なら止めておきましょう...