【2026年07月12日】WordPress プラグイン脆弱性まとめ: Elementor, W3 Total Cacheなど15件 • WordPress脆弱性速報

本日のまとめ

本日、WordPressプラグインにおいて合計15件の重要な脆弱性情報が公開されました。特に「Genolve – AI image AI video generation」「Essential Addons for Elementor」「Code Engine」「Simple JWT Login」「WP Ultimate CSV Importer」「WP Grid Builder」など、多くのサイトで使われているプラグインに緊急性の高い権限昇格やリモートコード実行の危険があります。ご自身のサイトで利用しているプラグインが含まれていないか、今すぐご確認ください。

Genolve – AI image AI video generation: 権限昇格の危険

対象: Genolve – AI image AI video generation
影響バージョン: 0 〜 <= 5.0.5
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性を悪用されると、サイトの寄稿者（Contributor）権限を持つユーザーが、管理者権限に昇格できてしまう可能性があります。悪意のあるユーザーが管理者に成りすまし、サイトを自由に操作できるようになる危険性があります。

今すぐやること

プラグインのバージョンが5.0.5以下の場合、速やかに最新バージョンへの更新を検討してください。更新に関する公式情報を確認し、対応を急ぎましょう。

出典

Wordfence: Genolve – AI image AI video generation <= 5.0.5 - Authenticated (Contributor+) Incorrect Authorization to Privilege Escalation via theopt

Essential Addons for Elementor: アカウント乗っ取りの危険

対象: Essential Addons for Elementor – Popular Elementor Templates & Widgets
影響バージョン: 0 〜 <= 6.6.10
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性により、寄稿者（Contributor）権限を持つユーザーが、メールのヘッダーを不正に操作し、管理者のパスワードリセットメールを自身のメールアドレスに転送させることができます。これにより、管理者のアカウントが乗っ取られる危険性があります。

今すぐやること

プラグインのバージョンが6.6.10以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。

出典

Wordfence: Essential Addons for Elementor <= 6.6.10 - Authenticated (Contributor+) Account Takeover via Email Header Injection

Code Engine: リモートからのコード実行の危険

対象: Code Engine – PHP Snippets, AI Functions & Automation for WordPress
影響バージョン: 0 〜 <= 0.3.5
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性を悪用されると、寄稿者（Contributor）権限を持つユーザーが、サイトのサーバー上で任意のコードを実行できてしまう可能性があります。これにより、サイトの改ざんや情報漏洩、さらにはサーバー自体の乗っ取りにつながる非常に深刻な危険性があります。

今すぐやること

プラグインのバージョンが0.3.5以下の場合、直ちにプラグインを無効化し、更新版が公開されているか公式情報を確認してください。修正版が利用可能になり次第、速やかに更新しましょう。

出典

Wordfence: Code Engine <= 0.3.5 - Authenticated (Contributor+) Remote Code Execution

対象: Simple JWT Login – Allows you to use JWT on REST endpoints.
影響バージョン: 0 〜 <= 3.6.6
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性により、購読者（Subscriber）権限を持つユーザーが、管理者アカウントの認証を回避し、管理者権限を不正に取得できてしまう可能性があります。サイト管理者のふりをして、サイトを完全にコントロールされる危険があります。

今すぐやること

プラグインのバージョンが3.6.6以下の場合、速やかに最新バージョンへの更新を検討してください。更新に関する公式情報を確認し、対応を急ぎましょう。

出典

Wordfence: Simple JWT Login <= 3.6.6 - Authenticated (Subscriber+) Authentication Bypass to Privilege Escalation via ‘payload’ Parameter

Swiss Toolkit For WP: 任意のファイルをアップロードされる危険

対象: Swiss Toolkit For WP
影響バージョン: 0 〜 <= 1.4.6
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性を悪用されると、著者（Author）権限を持つユーザーが、通常許可されていない種類のファイル（PHPファイルなど）をサイトにアップロードできてしまう可能性があります。これにより、リモートから任意のコードが実行され、サイトが乗っ取られる非常に深刻な危険性があります。

今すぐやること

プラグインのバージョンが1.4.6以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。また、「Enhanced Multi-Format Image Support」機能が有効になっている場合は特に注意が必要です。

出典

Wordfence: Swiss Toolkit For WP <= 1.4.6 - Authenticated (Author+) Arbitrary File Upload via upload_extension_files()

WP Ultimate CSV Importer: リモートからのコード実行の危険

対象: WP Ultimate CSV Importer – WordPress Import & Export for CSV, XML & Excel
影響バージョン: 0 〜 <= 8.0.1
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性を悪用されると、購読者（Subscriber）権限を持つユーザーが、サイトのサーバー上で任意のコードを実行できてしまう可能性があります。これにより、サイトの改ざんや情報漏洩、さらにはサーバー自体の乗っ取りにつながる非常に深刻な危険性があります。

今すぐやること

プラグインのバージョンが8.0.1以下の場合、直ちにプラグインを無効化し、更新版が公開されているか公式情報を確認してください。修正版が利用可能になり次第、速やかに更新しましょう。

出典

Wordfence: WP Ultimate CSV Importer <= 8.0.1 - Missing Authorization to Authenticated (Subscriber+) Remote Code Execution via ‘MappedFields’ Parameter

WP Grid Builder: 権限昇格の危険

対象: WP Grid Builder
影響バージョン: 0 〜 <= 2.3.3
深刻度: 8.8 / 10 (重要)

どんな危険があるか

この脆弱性により、購読者（Subscriber）権限を持つユーザーが、自身のユーザー情報を不正に操作し、管理者権限に昇格できてしまう可能性があります。悪意のあるユーザーが管理者に成りすまし、サイトを自由に操作できるようになる危険性があります。

今すぐやること

プラグインのバージョンが2.3.3以下の場合、速やかに最新バージョンへの更新を検討してください。更新に関する公式情報を確認し、対応を急ぎましょう。

出典

SureCart: 紐付けられたWordPressアカウントが乗っ取られる危険

対象: SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments
影響バージョン: 0 〜 <= 4.2.3
深刻度: 8.1 / 10 (重要)

どんな危険があるか

この脆弱性により、攻撃者はユーザーの身元確認をせずに、ユーザーのメールアドレスなどの詳細情報を不正に変更できてしまう可能性があります。特に、管理者のWordPressアカウントがSureCartの顧客レコードと紐付けられている場合、管理者のパスワードをリセットされ、アカウントが乗っ取られる危険性があります。

今すぐやること

プラグインのバージョンが4.2.3以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。

出典

Wordfence: SureCart <= 4.2.3 - Unauthenticated Linked WordPress Account Takeover via Forged customer.updated Webhook

W3 Total Cache: サイトの機密情報が読み取られる危険

対象: W3 Total Cache
影響バージョン: 0 〜 <= 2.9.4
深刻度: 7.5 / 10 (重要)

どんな危険があるか

この脆弱性により、認証されていない悪意のあるユーザーが、サイトのサーバー上にある任意のファイルの内容を読み取れてしまう可能性があります。これにより、データベースの認証情報や認証キーなど、サイトの運営に関わる非常に重要な情報が漏洩する危険性があります。

今すぐやること

プラグインのバージョンが2.9.4以下の場合、速やかに最新バージョンへの更新を検討してください。この脆弱性の悪用には特定の条件が必要ですが、リスクを避けるためにも早急な対応が推奨されます。

出典

Wordfence: W3 Total Cache <= 2.9.4 - Unauthenticated Arbitrary File Read via ‘f_array[]’ Parameter

WP CTA: データベース情報が盗み出される危険

対象: WP CTA – Call Now Button, Sticky Button & Call to Action Builder (WP CTA – Sticky CTA Builder, Generate Leads, Promote Sales)
影響バージョン: 0 〜 <= 2.2.2
深刻度: 7.5 / 10 (重要)

どんな危険があるか

この脆弱性により、認証されていない悪意のあるユーザーが、データベースに対して不正なSQLクエリを挿入し、サイトのデータベースから機密情報を盗み出せてしまう可能性があります。管理者パスワードのハッシュ値なども含まれるため、非常に深刻な危険性があります。

今すぐやること

プラグインのバージョンが2.2.2以下の場合、直ちにプラグインを無効化し、更新版が公開されているか公式情報を確認してください。修正版が利用可能になり次第、速やかに更新しましょう。

出典

Wordfence: WP CTA <= 2.2.2 - Unauthenticated Time-Based Blind SQL Injection via ‘fildname’ Parameter

Booking Package: データベース情報が盗み出される危険

対象: Booking Package
影響バージョン: 0 〜 <= 1.7.20
深刻度: 7.5 / 10 (重要)

どんな危険があるか

この脆弱性により、認証されていない悪意のあるユーザーが、メールフォームのパラメータを通じてデータベースに対して不正なSQLクエリを挿入し、サイトのデータベースから機密情報を盗み出せてしまう可能性があります。個人情報や予約情報が漏洩する危険性があります。

今すぐやること

プラグインのバージョンが1.7.20以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。

出典

Wordfence: Booking Package <= 1.7.20 - Unauthenticated SQL Injection via ‘email’ Form Parameter

LA-Studio Element Kit for Elementor: 任意のファイルが読み込まれて実行される危険

対象: LA-Studio Element Kit for Elementor
影響バージョン: 0 〜 <= 1.6.1
深刻度: 7.5 / 10 (重要)

どんな危険があるか

この脆弱性により、寄稿者（Contributor）権限を持つユーザーが、サイトのサーバー上にある任意のPHPファイルを読み込み、実行できてしまう可能性があります。これにより、サイトのアクセス制御が回避されたり、機密情報が漏洩したり、さらにはリモートからのコード実行につながる危険性があります。

今すぐやること

プラグインのバージョンが1.6.1以下の場合、速やかに最新バージョンへの更新を検討してください。公式情報を確認し、対応を急ぎましょう。

出典

Wordfence: LA-Studio Element Kit for Elementor <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion via ‘progress_type’ Widget Setting

CorvusPay WooCommerce Payment Gateway: 不正なスクリプトが埋め込まれる危険

対象: CorvusPay WooCommerce Payment Gateway
影響バージョン: 0 〜 <= 2.7.4
深刻度: 7.2 / 10 (重要)

どんな危険があるか

この脆弱性により、認証されていない悪意のあるユーザーが、不正なスクリプトをサイトのページに埋め込むことができてしまいます。このスクリプトは、ユーザーがそのページにアクセスした際に実行され、個人情報の窃取やサイトの改ざん、セッションハイジャックなどの被害を引き起こす可能性があります。

今すぐやること

プラグインのバージョンが2.7.4以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。

出典

Wordfence: CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Stored Cross-Site Scripting via ‘approval_code’ Parameter

Form Vibes: 不正なスクリプトが埋め込まれる危険

対象: Form Vibes – Save Contact Form 7 & Elementor Form Entries to Database (Form Vibes – Database Manager for Forms)
影響バージョン: 0 〜 <= 1.5.2
深刻度: 7.2 / 10 (重要)

どんな危険があるか

この脆弱性により、認証されていない悪意のあるユーザーが、Contact Form 7のフォームフィールドを悪用して、不正なスクリプトをサイトのページに埋め込むことができてしまいます。このスクリプトは、ユーザーがそのページにアクセスした際に実行され、個人情報の窃取やサイトの改ざんなどの被害を引き起こす可能性があります。

今すぐやること

プラグインのバージョンが1.5.2以下の場合、速やかに最新バージョンへの更新が必要です。公式情報を確認し、指示に従って対策を行ってください。

出典

Wordfence: Form Vibes <= 1.5.2 - Unauthenticated Stored Cross-Site Scripting via Contact Form 7 Form Field

Planyo online reservation system: サーバーの機密情報が読み取られる危険

対象: Planyo online reservation system
影響バージョン: 0 〜 <= 3.0
深刻度: 7.2 / 10 (重要)

Wordfence: Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via ‘ulap_url’ Parameter

日頃の備え

WordPressサイトのセキュリティを維持するためには、日頃からの対策が重要です。

プラグインとテーマの更新: 常に最新バージョンに保ち、自動更新設定も検討しましょう。
定期的なバックアップ: 万が一の事態に備え、サイト全体のバックアップを定期的に取得しましょう。
不要なプラグイン・テーマの削除: 使っていないものは削除し、攻撃対象を減らしましょう。
強固なパスワードの使用: 管理者アカウントだけでなく、すべてのユーザーアカウントで複雑なパスワードを設定しましょう。
セキュリティプラグインの導入: 信頼できるセキュリティプラグインを導入し、不正アクセスやマルウェアからサイトを保護しましょう。