WordPress脆弱性情報

• 2026年9月14日 Critical
  The Events Calendarに未認証コードインジェクションからRCEに至るCritical脆弱性（CVE-2026-78159）

  • 対象製品The Events Calendar（プラグイン）
  • CVECVE-2026-78159
  • 脆弱性種別未認証コードインジェクション / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  The Events Calendarに未認証PHP Object InjectionからRCEに至るCritical脆弱性（CVE-2026-78006）

  • 対象製品The Events Calendar（プラグイン）
  • CVECVE-2026-78006
  • 脆弱性種別未認証PHP Object Injection / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Masteriyo LMSに未認証PHP Object Injection・RCEにつながるHigh脆弱性（CVE-2026-62107）

  • 対象製品Masteriyo LMS – LMS Course Builder, Quizzes & Certificates（プラグイン）
  • CVECVE-2026-62107
  • 脆弱性種別未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Executionにつながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  SMS Alert Order NotificationsにSubscriber権限からの権限昇格脆弱性（CVE-2026-62106）

  • 対象製品SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery（プラグイン）
  • CVECVE-2026-62106
  • 脆弱性種別認証済みSubscriber+ 権限昇格
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  ThemeREX Addonsに未認証PHP Object Injection・RCEにつながるCritical脆弱性（CVE-2026-62105）

  • 対象製品ThemeREX Addons（プラグイン）
  • CVECVE-2026-62105
  • 脆弱性種別未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Executionにつながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Everest Formsに未認証PHP Object Injection・RCEにつながるCritical脆弱性（CVE-2026-62103）

  • 対象製品Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI（プラグイン）
  • CVECVE-2026-62103
  • 脆弱性種別未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Executionにつながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Gato GraphQLにSubscriber権限からの権限昇格脆弱性（CVE-2026-62102）

  • 対象製品Gato GraphQL（プラグイン）
  • CVECVE-2026-62102
  • 脆弱性種別認証済みSubscriber+ 権限昇格
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Essential Addons for Elementorに未認証でAdministrator作成可能な権限昇格脆弱性（CVE-2026-18039）

  • 対象製品Essential Addons for Elementor – Popular Elementor Templates & Widgets（プラグイン）
  • CVECVE-2026-18039
  • 脆弱性種別未認証の権限昇格 / Mass Assignment / Administratorアカウント作成
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Teddy Bear Customize Addonに未認証で管理者としてログインできるCritical脆弱性（CVE-2026-14559）

  • 対象製品Teddy Bear Customize Addon（プラグイン）
  • CVECVE-2026-14559
  • 脆弱性種別未認証の認証回避 / Account Takeover / Administrator乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Teddy Bear Customize Addonに未認証の任意PHPアップロード・RCE脆弱性（CVE-2026-14560）

  • 対象製品Teddy Bear Customize Addon（プラグイン）
  • CVECVE-2026-14560
  • 脆弱性種別未認証の任意ファイルアップロード / 任意PHP実行 / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Advanced Customized Promptsに未認証で管理者アカウントを乗っ取れるCritical脆弱性（CVE-2026-14563）

  • 対象製品Advanced Customized Prompts（プラグイン）
  • CVECVE-2026-14563
  • 脆弱性種別未認証の認証回避 / Account Takeover / 任意アカウント作成
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  MultiVendorXにStore OwnerからAdministratorへ権限昇格できる脆弱性（CVE-2026-74925）

  • 対象製品MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions（プラグイン）
  • CVECVE-2026-74925
  • 脆弱性種別認証済みStore Owner+ 権限昇格 / Administrator権限取得
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Medium
  OTP Login & Register WooCommerceに未認証OTP総当たりによる認証回避・アカウント乗っ取り（CVE-2026-12215）

  • 対象製品OTP Login & Register Woocommerce（プラグイン）
  • CVECVE-2026-12215
  • 脆弱性種別未認証の認証回避 / OTP Brute Force / Account Takeover
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  MIPL Grouped Checkout Fields for WooCommerceに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-8778）

  • 対象製品MIPL Grouped Checkout Fields for WooCommerce. Customize & Organize Checkout Fields.（プラグイン）
  • CVECVE-2026-8778
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical 実攻撃を確認
  Breeze Cacheの未認証任意ファイルアップロード・RCE脆弱性に対する実攻撃を観測（CVE-2026-3844）

  • 対象製品Breeze Cache（プラグイン）
  • CVECVE-2026-3844
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月14日 Critical 実攻撃を確認
  WPvivid Backup & Migrationの未認証任意ファイルアップロード脆弱性に対する実攻撃を観測（CVE-2026-1357）

  • 対象製品WPvivid — Backup, Migration & Staging（プラグイン）
  • CVECVE-2026-1357
  • 脆弱性種別未認証の任意ファイルアップロード / Path Traversal / Remote Code Execution
  • 実攻撃実攻撃を確認
• 2026年9月14日 High
  RepairBuddyにSubscriber権限からRCEが可能な脆弱性（CVE-2026-81803）

  • 対象製品RepairBuddy – Repair Shop CRM & Booking Plugin for WordPress（プラグイン）
  • CVECVE-2026-81803
  • 脆弱性種別認証済みSubscriber+ Remote Code Execution / Code Injection
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  SiteSkiteに未認証の権限昇格脆弱性（CVE-2026-81805）

  • 対象製品SiteSkite MCP AI – Connector for Claude, ChatGPT, Cursor & WordPress WebOps（プラグイン）
  • CVECVE-2026-81805
  • 脆弱性種別未認証の権限昇格 / Incorrect Privilege Assignment
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  WP MapsにSubscriber権限から任意ローカルPHP実行が可能なLFI脆弱性（CVE-2026-16263）

  • 対象製品WP Maps – Google Maps, OpenStreetMap, Mapbox, Store Locator, Listing, Directory & Filters（プラグイン）
  • CVECVE-2026-16263
  • 脆弱性種別認証済みSubscriber+ Local File Inclusion / 任意ローカルPHP実行
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Registration Form for WooCommerceにContributorから管理者権限を取得できる脆弱性（CVE-2026-81431）

  • 対象製品Registration Form for WooCommerce（プラグイン）
  • CVECVE-2026-81431
  • 脆弱性種別認証済みContributor+ 権限昇格 / 任意ロール割り当て / 管理者アカウント作成
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。