WordPress脆弱性速報

【2026年07月28日】WordPress プラグイン脆弱性まとめ: eMagicOne Store Manager、rtMedia など 15 件

2026年7月28日 / 8 min read

wordpress , プラグイン , 脆弱性 , セキュリティ , 速報

Table of Contents

本日のまとめ

本日、人気のWordPressプラグイン「eMagicOne Store Manager for WooCommerce」や「rtMedia for WordPress, BuddyPress and bbPress」、「GamiPress」などに、深刻な脆弱性情報が合計15件公開されました。これらの脆弱性は、サイトの乗っ取りやデータ漏洩など、重大な被害につながる可能性があります。ご自身のサイトに影響がないか、すぐに確認しましょう。

eMagicOne Store Manager for WooCommerce

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2025-5058

認証されていない攻撃者が、ファイルの種類をチェックせずに任意のファイルをアップロードできるため、サイトのサーバーでプログラムを不正に実行される可能性があります。

→ CVE-2025-5058 の詳しい解説と今すぐやることはこちら

Realtyna Organic IDX plugin + WPL Real Estate

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-13714

認証されていない攻撃者が、ファイルの種類が検証されない機能を悪用して任意のPHPファイルをアップロードし、サイト上でプログラムを不正に実行できる可能性があります。

→ CVE-2026-13714 の詳しい解説と今すぐやることはこちら

MemberGlut

深刻度: 9.8 / 10 (緊急)
CVE: CVE-2026-12394

認証されていない攻撃者が、登録時に任意の役割（管理者を含む）を選んでアカウントを作成し、サイトを完全に制御できる可能性があります。

→ CVE-2026-12394 の詳しい解説と今すぐやることはこちら

AWP Classifieds

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-59550

認証されていない攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59550 の詳しい解説と今すぐやることはこちら

GamiPress

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-59538

認証されていない攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59538 の詳しい解説と今すぐやることはこちら

MapSVG

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-59527

認証されていない攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59527 の詳しい解説と今すぐやることはこちら

Relevanssi Light

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-59533

認証されていない攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59533 の詳しい解説と今すぐやることはこちら

rtMedia for WordPress, BuddyPress and bbPress

深刻度: 9.3 / 10 (緊急)
CVE: CVE-2026-59549

認証されていない攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59549 の詳しい解説と今すぐやることはこちら

eMagicOne Store Manager for WooCommerce

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2025-4603

認証されていない攻撃者が、サーバー上の任意のファイルを削除できるため、サイトの重要なファイルを消され、結果的にプログラムを不正に実行される可能性があります。

→ CVE-2025-4603 の詳しい解説と今すぐやることはこちら

Masteriyo LMS

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-13332

認証されていない攻撃者が、管理者を含むサイト上のあらゆるユーザーのアクティブなセッションを強制的に終了させ、ログインできない状態にできる可能性があります。

→ CVE-2026-13332 の詳しい解説と今すぐやることはこちら

深刻度: 9.1 / 10 (緊急)
CVE: CVE-2026-13597

認証されていない攻撃者が、特定のユーザーになりすましてサイトにログインできるため、管理者アカウントを含め、アカウントを乗っ取られる可能性があります。

→ CVE-2026-13597 の詳しい解説と今すぐやることはこちら

WP FacturaONE

深刻度: 9.0 / 10 (緊急)
CVE: CVE-2026-14289

認証されていない攻撃者が、設定がデフォルトのままだとウェブからアクセス可能なディレクトリに任意のファイルを書き込み、プログラムを不正に実行できる可能性があります。

→ CVE-2026-14289 の詳しい解説と今すぐやることはこちら

Sunshine Photo Cart

深刻度: 8.8 / 10 (重要)
CVE: CVE-2025-5482

サイトにログインできる購読者レベル以上の攻撃者が、パスワードリセット機能を悪用して任意のユーザー（管理者を含む）のパスワードを変更し、アカウントを乗っ取れる可能性があります。

→ CVE-2025-5482 の詳しい解説と今すぐやることはこちら

Printcart Web to Print Product Designer for WooCommerce

深刻度: 8.6 / 10 (重要)
CVE: CVE-2025-15662

認証されていない攻撃者が、サーバー側で任意のファイルを読み取ったり、内部リソースへのリクエストを強制したりできるため、データベースの認証情報などの秘密情報が漏洩する可能性があります。

→ CVE-2025-15662 の詳しい解説と今すぐやることはこちら

rtMedia for WordPress, BuddyPress and bbPress

深刻度: 8.5 / 10 (重要)
CVE: CVE-2026-59551

サイトにログインできる購読者レベルの攻撃者がSQLインジェクション脆弱性を悪用し、データベース内の情報を盗み見たり、改ざんしたりする可能性があります。

→ CVE-2026-59551 の詳しい解説と今すぐやることはこちら

日頃の備え

ご自身のサイトを安全に保つために、普段から以下の対策を心がけましょう。プラグインやテーマは常に最新版に更新し、自動更新機能を活用することをおすすめします。万が一に備え、定期的にサイト全体のバックアップを取る習慣も大切です。また、現在使っていないプラグインやテーマは削除することで、攻撃される可能性のある箇所を減らすことができます。

出典