使っている製品の、
影響するバージョンと、やることをすぐ確認。
検索範囲：WordPress。下のボタンで範囲を変更できます。
WordPressの脆弱性
取得済みデータから 465 件WP Ultimate Review：訪問者のレビューから、サイト内の機能を勝手に呼び出されるWordPress プラグインCVE-2026-103234重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
ショートコードとは、短い記号でサイトの機能を呼び出す仕組みです。レビューに混ぜたショートコードを実行されると、導入済みの機能に応じて意図しない処理が起きます。この問題だけで、あらゆるPHPコードを自由に実行できるとは限りません。
自分は対象？
対象はWP Ultimate Reviewの2.4.5未満です。訪問者によるレビュー投稿と、対象となる項目の表示が有効な場合に問題になります。攻撃者はログインしている必要がありません。
CVEの表題では、レビュー投稿者のメール欄を経由する問題として示されています。
ほか1項目は詳細ページへ
- 対象の版
- WP Ultimate Review：2.4.5未満
- 修正版
- 2.4.5
どうすればいい？
WP Ultimate Reviewを2.4.5以降へ更新してください。
ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。
FluentCart：他の顧客の住所・電話番号を注文から読まれるWordPress プラグインCVE-2026-100142重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
顧客の郵便住所、電話番号、会社情報が漏れるおそれがあります。顧客アカウントへのログインを破らなくても、注文手続きを通じて成立する点に注意が必要です。
自分は対象？
対象はFluentCart A New Era of eCommerceの2.2.0未満です。注文時に指定された保存済み住所が本人のものかを確認しないことが原因で、攻撃者のログインは不要です。
最初に「FluentCart A New Era of eCommerce」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。
- 対象の版
- FluentCart A New Era of eCommerce：2.2.0未満
- 修正版
- 2.2.0
どうすればいい？
FluentCartを2.2.0以降へ更新してください。注文データのバックアップと、決済・配送との連携が動くかの確認を行ってください。
ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。
WordPress本体：利用者の多いサイトで、クイック編集から管理者のブラウザーに不正な処理WordPress 本体CVE-2026-114570重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
管理者などのブラウザーで、その人のログイン状態を使った不正な処理が実行されるおそれがあります。公開サイトの全訪問者が、ログインせず直接この操作をできるという内容ではありません。
自分は対象？
対象はWordPress本体です。7.0系では7.0.2までが影響し、古い系列にも対象版があります。プラグインの更新だけでは本体の問題は修正されません。
利用者数が多いサイトであること、攻撃者がContributor（日本語画面の「寄稿者」）以上の権限を持つこと、より強い権限の人が該当の管理画面を開くことが、説明に挙げられた条件です。
ほか2項目は詳細ページへ
- 対象の版
- WordPress：>= 4.7.0 / <= 4.7.33WordPress：>= 4.8.0 / <= 4.8.28WordPress：>= 4.9.0 / <= 4.9.29WordPress：>= 5.0.0 / <= 5.0.25WordPress：>= 5.1.0 / <= 5.1.22WordPress：>= 5.2.0 / <= 5.2.24WordPress：>= 5.3.0 / <= 5.3.21WordPress：>= 5.4.0 / <= 5.4.19WordPress：>= 5.5.0 / <= 5.5.18WordPress：>= 5.6.0 / <= 5.6.17WordPress：>= 5.7.0 / <= 5.7.15WordPress：>= 5.8.0 / <= 5.8.13WordPress：>= 5.9.0 / <= 5.9.13WordPress：>= 6.0.0 / <= 6.0.12WordPress：>= 6.1.0 / <= 6.1.10WordPress：>= 6.2.0 / <= 6.2.9WordPress：>= 6.3.0 / <= 6.3.8WordPress：>= 6.4.0 / <= 6.4.8WordPress：>= 6.5.0 / <= 6.5.8WordPress：>= 6.6.0 / <= 6.6.5WordPress：>= 6.7.0 / <= 6.7.5WordPress：>= 6.8.0 / <= 6.8.6WordPress：>= 6.9.0 / <= 6.9.5WordPress：>= 7.0.0 / <= 7.0.2
- 修正版
- WordPress 7.0系: 7.0.3
記号の読み方：< は未満、<= は以下、>= は以上、> は超える。
どうすればいい？
「ダッシュボード」→「更新」から、利用できる最新のWordPress安定版へ更新してください。この問題は7.0.3の公式セキュリティ更新で修正されています。
古い系列を保守会社が管理している場合は、利用中の系列向けのセキュリティ修正が適用済みかを依頼してください。7.0.3はすべての系列に共通する番号ではありません。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るWordPress Team Members – GS Plugins：脆弱性情報WordPress プラグインCVE-2026-110369重要度：高悪用状況：未確認公式の対策情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
具体的な被害は記載されていません。
自分は対象？
WordPress Team Members – GS Plugins プラグインのバージョン 2.8.2 まで（それ以前のすべてのバージョン）が影響を受けます。
公式の対象表：GS Plugins / WordPress Team Members – GS Plugins。影響ありとして記載：2.8.2以下の版。途中の変更：2.8.3から影響なし。
- 対象の版
- WordPress Team Members – GS Plugins：<= 2.8.2 / 範囲内で状態が変わります（開始時: 影響あり。変更点: 2.8.3から影響なし。版の順序・条件は原文確認）
- 修正版
- 版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。
記号の読み方：< は未満、<= は以下、>= は以上、> は超える。
どうすればいい？
WordPress Team Members – GS Plugins プラグインを最新バージョン（少なくとも 2.8.3）に更新する。
「CVE-2026-110369」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るJane Menu：ブラウザー上での不正な処理WordPress プラグインCVE-2026-85683重要度：高悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
認証されていない攻撃者がそのページを閲覧した訪問者（管理者を含む）のブラウザーで任意の JavaScript を実行できる。
自分は対象？
Jane Menu プラグインのバージョンが 1.5.1 未満であること。
対象のフォームハンドラが認証されていないユーザーからアクセス可能であること。
ほか2項目は詳細ページへ
- 対象の版
- Jane Menu：1.5.1未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
HappyForms：脆弱性情報WordPress プラグインCVE-2026-14556重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
管理者が受け取る通知メールに任意の HTML が含まれるため、メールクライアントで不正な処理が実行される可能性がある。
自分は対象？
HappyForms のバージョンが 1.26.15 未満のすべてのインストールが影響を受ける。
公式の対象表：HappyForms。影響ありとして記載：1.26.15未満の版。
- 対象の版
- HappyForms：1.26.15未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Contest Gallery：脆弱性情報WordPress プラグインCVE-2026-107447重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
投票総数が不正に増える可能性があります。
自分は対象？
Contest Gallery プラグインのバージョンが 34.0.1 未満であること。
投票制限はクライアントが送信するリクエストヘッダーとクライアント生成トークンに基づいて訪問者の身元を判断していること。
ほか1項目は詳細ページへ
- 対象の版
- Contest Gallery：34.0.1未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
LatePoint：脆弱性情報WordPress プラグインCVE-2026-105256重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
支払いが行われないまま予約が確定し、無料でサービスが利用できる状態になる。
自分は対象？
対象はLatePoint WordPressプラグインのバージョンが5.7.5未満であること。
攻撃は認証されていない訪問者が 'payment_portion' パラメータを操作できることが前提です。
ほか2項目は詳細ページへ
- 対象の版
- LatePoint：5.7.5未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Simple Shopping Cart：脆弱性情報WordPress プラグインCVE-2026-104642重要度：低悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
訪問者が攻撃者が設定した不正な価格で商品を購入できるため、販売者に金銭的損失が生じる可能性があります。
自分は対象？
Simple Shopping Cart WordPress プラグインのバージョン 5.1.3 以上 5.3.3 未満が影響を受けます。
Contributor ロール以上のユーザーが、商品価格の検証が行われない状態で価格を送信できます。
ほか3項目は詳細ページへ
- 対象の版
- Simple Shopping Cart：5.1.3以上・5.3.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Simple Shopping Cart：脆弱性情報WordPress プラグインCVE-2026-104641重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
攻撃者が実際に支払っていないにもかかわらず、注文が支払済みとみなされるため、商品やサービスが不正に提供される可能性があります。
自分は対象？
Simple Shopping Cart プラグインのバージョンが 5.3.3 未満で、デフォルト設定のまま使用している場合に影響を受けます。
公式の対象表：Simple Shopping Cart。影響ありとして記載：5.3.3未満の版。
- 対象の版
- Simple Shopping Cart：5.3.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Payment Gateway for Telcell：脆弱性情報WordPress プラグインCVE-2026-103301重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
攻撃者が任意の注文を支払済みまたは失敗として偽装できるため、売上や在庫管理が不正になる可能性があります。
自分は対象？
WordPress 用プラグイン「Payment Gateway for Telcell」のバージョンが 2.0.5 未満のものが影響を受けます。
このプラグインはデフォルトでマーチャントシークレットが空になっており、支払い通知の真正性を検証しません。
ほか1項目は詳細ページへ
- 対象の版
- Payment Gateway for Telcell：2.0.5未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
CMP – Coming Soon & Maintenance：脆弱性情報WordPress プラグインCVE-2026-101138重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
メンテナンスモード中にもかかわらず、認証されていないユーザーが本来隠すべきページの内容を閲覧できるため、情報が外部に漏れる可能性があります。
自分は対象？
対象プラグイン: CMP – Coming Soon & Maintenance。影響を受けるバージョンは 4.1.19 以上 4.1.21 未満（具体的には 4.1.19 と 4.1.20）。メンテナンスモードが有効で、管理者がカスタム URL パターンでページホワイトリストに追加したページ。
公式の対象表：CMP – Coming Soon & Maintenance。影響ありとして記載：4.1.19以上、4.1.21未満。
- 対象の版
- CMP – Coming Soon & Maintenance：4.1.19以上・4.1.21未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Cart Abandonment Recovery for WooCommerce：認証の回避WordPress プラグインCVE-2026-96901重要度：低悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
攻撃者が被害者のカートセッション識別子を知っているだけで、放棄されたカートの記録を改ざんでき、たとえば回復メールの購読解除や任意のクーポンを適用させることが可能になります。
自分は対象？
対象プラグインは Cart Abandonment Recovery for WooCommerce のバージョン 2.2.0 未満です。
プラグインはカート回復トークンの完全性を検証せず、署名されていないレガシートークン形式を受け入れます。
ほか3項目は詳細ページへ
- 対象の版
- Cart Abandonment Recovery for WooCommerce：2.2.0未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Click n Chat (Chat Widget Integration)：脆弱性情報WordPress プラグインCVE-2026-92999重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
認証されていない攻撃者が顧客の氏名・メールアドレス・電話番号といった個人情報を取得できる情報漏洩のリスクがあります。
自分は対象？
Click n Chat (Chat Widget Integration) のバージョン 1.0.4 から 1.1.2 まで（1.1.3 未満）が影響を受けます。
公式の対象表：Click n Chat (Chat Widget Integration)。影響ありとして記載：1.0.4以上、1.1.3未満。
- 対象の版
- Click n Chat (Chat Widget Integration)：1.0.4以上・1.1.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Click n Chat (Chat Widget Integration)：データベースへの不正操作WordPress プラグインCVE-2026-92998重要度：高悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
未認証の攻撃者が SQL インジェクションを実行できる。
自分は対象？
Click n Chat (Chat Widget Integration) WordPress プラグインのバージョン 1.0.4 以上 1.1.3 未満は影響を受ける。
未認証の攻撃者が 'sort_by' または 'sort_order' パラメータを指定でき、これらがサニタイズされずに SQL の ORDER BY 句に使用される。
ほか1項目は詳細ページへ
- 対象の版
- Click n Chat (Chat Widget Integration)：1.0.4以上・1.1.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Click n Chat (Chat Widget Integration)：データベースへの不正操作WordPress プラグインCVE-2026-92997重要度：高悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
認証されていない攻撃者が SQL インジェクション攻撃を実行できる。
自分は対象？
対象製品は WordPress 用プラグイン「Click n Chat (Chat Widget Integration)」である。
バージョンが 1.1.3 未満のものが影響を受ける。
ほか3項目は詳細ページへ
- 対象の版
- Click n Chat (Chat Widget Integration)：1.1.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Translate WordPress with Weglot 2.0：ブラウザー上での不正な処理WordPress プラグインCVE-2026-88784重要度：高悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
保存されたペイロードが翻訳ページを閲覧した利用者のブラウザーで実行され、ページ上で不正な処理が行われる可能性があります。
自分は対象？
対象プラグインは “Translate WordPress with Weglot 2.0” のバージョンが 6.4.3 未満である。
この脆弱性は認証されていないユーザーが悪意のあるペイロードを保存できることを前提としています。
ほか3項目は詳細ページへ
- 対象の版
- Translate WordPress with Weglot 2.0：6.4.3未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Wava Payment Plugin：脆弱性情報WordPress プラグインCVE-2026-87838重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
認証情報が上書きされ、サイト所有者が意図しない統合が検証済み状態になり、チェックアウトから支払方法が削除される可能性があります。
自分は対象？
Wava Payment Plugin のバージョン 0.3.1 以上 0.3.10 未満が対象です。
プラグインが提供する公開 REST エンドポイントのうちの1つで、認証、nonce、オリジンの検証が行われていません。
ほか2項目は詳細ページへ
- 対象の版
- Wava Payment Plugin：0.3.1以上・0.3.10未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Wava Payment Plugin：脆弱性情報WordPress プラグインCVE-2026-87837重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
認証されていない攻撃者が注文ステータスを不正に変更できるため、未払いの注文が支払い済みとして処理される、または顧客の注文がキャンセルされるという被害が起こります。さらに、0.3.7までのバージョンでは、レスポンスに注文の請求情報（氏名、住所、メールアドレス、電話番号）が含まれ、同じ攻撃者に顧客情報が漏洩します。
自分は対象？
対象は Wava Payment Plugin のバージョン 0.3.1 以上 0.3.10 未満です。
プラグインは受信した支払いプロバイダーからの通知の正当性を確認しません。
ほか5項目は詳細ページへ
- 対象の版
- Wava Payment Plugin：0.3.1以上・0.3.10未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
Download Manager：意図しない操作WordPress プラグインCVE-2026-86611重要度：中悪用状況：未確認修正版：要確認
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/23 12:18 JST
どんな危険？
攻撃者がログイン中の管理者のプライバシー設定やストレージ設定を不正に変更できる可能性があります。
自分は対象？
WordPress 用 Download Manager プラグインのバージョンが 3.3.71 未満である場合。
WordPress 用 Download Manager プラグインのバージョンが 4.0.0 以上かつ 7.5.9 未満である場合。
ほか3項目は詳細ページへ
- 対象の版
- Download Manager：3.3.71未満Download Manager：4.0.0以上・7.5.9未満
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
取得対象に限りがあり、掲載がない場合も安全とは限りません。原文の更新日時と取得日時をご確認ください。