WordPress脆弱性情報

• 2026年9月14日 High
  Site Reviewsに未認証PHP Object Injection、条件次第でRCEにつながる脆弱性（CVE-2026-82925）

  • 対象製品Site Reviews（プラグイン）
  • CVECVE-2026-82925
  • 脆弱性種別未認証PHP Object Injection / Deserialization of Untrusted Data / 条件付きRemote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Verified Reviews (Avis Vérifiés)に未認証SQLインジェクションのCritical脆弱性（CVE-2026-81800）

  • 対象製品Verified Reviews (Avis Vérifiés)（プラグイン）
  • CVECVE-2026-81800
  • 脆弱性種別未認証SQLインジェクション / SQL Injection
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Podlove Podcast Publisherに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-13001）

  • 対象製品Podlove Podcast Publisher（プラグイン）
  • CVECVE-2026-13001
  • 脆弱性種別未認証の任意ファイルアップロード / Remote Code Execution
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Bulk Password ResetにSubscriber権限から管理者アカウントを乗っ取り可能な脆弱性（CVE-2026-14873）

  • 対象製品Bulk Password Reset（プラグイン）
  • CVECVE-2026-14873
  • 脆弱性種別認証済みSubscriber+ 権限昇格 / 管理者アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  SEO Flow by LupsOnlineに未認証で管理者をなりすませるCritical脆弱性（CVE-2026-78362）

  • 対象製品SEO Flow by LupsOnline（プラグイン）
  • CVECVE-2026-78362
  • 脆弱性種別未認証の認証回避／権限昇格 → 管理者なりすまし・サイト乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  NokriテーマにSubscriber権限から管理者アカウント乗っ取り可能な権限昇格脆弱性（CVE-2025-9049）

  • 対象製品Nokri – Job Board WordPress Theme（テーマ）
  • CVECVE-2025-9049
  • 脆弱性種別Subscriber+ 権限昇格／管理者アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  SureCartにSubscriber権限から管理者アカウント乗っ取り可能な権限昇格脆弱性（CVE-2026-18480）

  • 対象製品SureCart（プラグイン）
  • CVECVE-2026-18480
  • 脆弱性種別Subscriber+ 権限昇格／管理者アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  MyHome Coreに未認証の認証回避から管理者アカウント乗っ取り（CVE-2026-15980）

  • 対象製品MyHome Core（プラグイン）
  • CVECVE-2026-15980
  • 脆弱性種別未認証の認証回避・アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Frontend Admin by DynamiAppsに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-75816）

  • 対象製品Frontend Admin by DynamiApps（プラグイン）
  • CVECVE-2026-75816
  • 脆弱性種別未認証の認証回避／アカウント乗っ取り／認可不備
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  MemberDashに未認証の管理者アカウント乗っ取り脆弱性（CVE-2026-16310）

  • 対象製品MemberDash（プラグイン）
  • CVECVE-2026-16310
  • 脆弱性種別未認証のアカウント乗っ取り／IDOR／認可不備
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Welcart e-Commerceに未認証PHP Object Injectionからサイト侵害につながる脆弱性（CVE-2026-19887）

  • 対象製品Welcart e-Commerce（プラグイン）
  • CVECVE-2026-19887
  • 脆弱性種別未認証PHP Object Injection／任意ファイル削除／RCEにつながる可能性
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Post Gridに未認証Hook InjectionのCritical脆弱性（CVE-2024-11080）

  • 対象製品Post Grid and Gutenberg Blocks – ComboBlocks (Post Grid)（プラグイン）
  • CVECVE-2024-11080
  • 脆弱性種別未認証Hook Injection／任意WordPressアクション実行
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  MStore APIに未認証のJWT偽造による認証回避脆弱性（CVE-2026-13447）

  • 対象製品MStore API – Create Native Android & iOS Apps On The Cloud（プラグイン）
  • CVECVE-2026-13447
  • 脆弱性種別未認証の認証回避／JWT Forgery／アカウント乗っ取り
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Abandoned Cart Pro for WooCommerceに管理者乗っ取りにつながる権限昇格脆弱性（CVE-2026-81543）

  • 対象製品Abandoned Cart Pro for WooCommerce（プラグイン）
  • CVECVE-2026-81543
  • 脆弱性種別権限昇格（認可不備・管理者アカウント乗っ取り）
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Mail Mintに未認証PHP Object InjectionからRCEにつながる脆弱性（CVE-2026-10196）

  • 対象製品Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails（プラグイン）
  • CVECVE-2026-10196
  • 脆弱性種別未認証PHP Object Injection（POP chain存在時にRCE）
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  Hummingbirdに未認証RCE脆弱性（CVE-2026-83627）

  • 対象製品Hummingbird Performance – Cache & Page Speed Optimization（プラグイン）
  • CVECVE-2026-83627
  • 脆弱性種別未認証RCE（Page Cache Debug Logへのコード注入）
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  WPLP Cookie Consentに未認証の任意ファイルアップロード脆弱性、RCEの可能性（CVE-2026-75865）

  • 対象製品WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode（プラグイン）
  • CVECVE-2026-75865
  • 脆弱性種別未認証任意ファイルアップロード／認証回避（RCEにつながる可能性）
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  SAML Single Sign Onに未認証のAdministrator認証回避（CVE-2026-75807）

  • 対象製品SAML Single Sign On – SSO Login（プラグイン）
  • CVECVE-2026-75807
  • 脆弱性種別未認証Authentication Bypass → Administratorセッション取得
  • 実攻撃実攻撃は未確認
• 2026年9月14日 High
  Drag and Drop Multiple File Upload for Contact Form 7に未認証RCE（CVE-2026-18781）

  • 対象製品Drag and Drop Multiple File Upload for Contact Form 7（プラグイン）
  • CVECVE-2026-18781
  • 脆弱性種別未認証Remote Code Execution / ファイル名検証回避
  • 実攻撃実攻撃は未確認
• 2026年9月14日 Critical
  WooCommerce Subscriptionsに未認証RCE（CVE-2026-18391）

  • 対象製品WooCommerce Subscriptions（プラグイン）
  • CVECVE-2026-18391
  • 脆弱性種別未認証PHP Object Injection → Remote Code Execution
  • 実攻撃実攻撃は未確認

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。