skip to content
WordPress脆弱性速報

【2026年07月30日】WordPress プラグイン脆弱性まとめ: Cost Calculator Builder PRO など 14 件

/ 9 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ , View more blogs with the tag 速報
Table of Contents

本日のまとめ

本日、WordPressのプラグインやテーマに合計14件の重要な脆弱性情報が公開されました。 「Cost Calculator Builder PRO」「Advanced Responsive Video Embedder」「Meta Box AIO」などの主要なプラグインやテーマに、管理者権限の乗っ取りやサイトへの不正アクセス、遠隔でのコード実行など、深刻な影響を与える危険性があります。 ご自身のサイトでこれらのプラグインやテーマを使用している場合は、早急に詳細を確認し、適切な対策を講じる必要があります。

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2025-10656

このプラグインには、認証されていない攻撃者があなたのWordPressサイトに管理者のアカウントを勝手に作成できてしまう深刻な脆弱性があります。

→ CVE-2025-10656 の詳しい解説と今すぐやることはこちら

Cost Calculator Builder PRO

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-14900

このプラグインには、認証されていない攻撃者があなたのサイトのサーバー上で、悪意のあるプログラムを自由に実行できてしまう非常に危険な脆弱性があります。

→ CVE-2026-14900 の詳しい解説と今すぐやることはこちら

Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick …

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-18072

このプラグインには、認証されていない攻撃者が特定の秘密の文字列を知っているだけで、管理者に成りすましてサイトを完全に制御できてしまう裏口（バックドア）のような脆弱性があります。

→ CVE-2026-18072 の詳しい解説と今すぐやることはこちら

Streamit (テーマ)

  • 深刻度: 9.8 / 10 (緊急)
  • CVE: CVE-2026-13423

このテーマには、認証されていない攻撃者が、管理者のアカウント作成など、サーバー上で任意の機能を呼び出してサイトを完全に制御できてしまう非常に危険な脆弱性があります。

→ CVE-2026-13423 の詳しい解説と今すぐやることはこちら

Meta Box AIO

  • 深刻度: 9.1 / 10 (緊急)
  • CVE: CVE-2026-14488

このプラグインには、認証されていない攻撃者が、権限なしにあなたのサイトの任意の投稿やページを削除できてしまう危険な脆弱性があります。

→ CVE-2026-14488 の詳しい解説と今すぐやることはこちら

Wholesale for WooCommerce

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-12144

このプラグインには、サイトの作成者（Author）レベル以上の権限を持つ認証されたユーザーが、悪用することで管理者権限に昇格できてしまう脆弱性があります。

→ CVE-2026-12144 の詳しい解説と今すぐやることはこちら

Extra Checkout Options (WooCommerceアドオン)

  • 深刻度: 8.8 / 10 (重要)
  • CVE: CVE-2026-14270

このプラグインには、購読者（Subscriber）レベル以上の認証されたユーザーが、悪意のあるファイルをアップロードし、サーバー上でプログラムを実行できてしまう危険性があります。

→ CVE-2026-14270 の詳しい解説と今すぐやることはこちら

WordPress Coding Standards

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-45293

このプラグインを使用してコードレビューを行う際に、悪意を持って作られたコードが実行され、スキャンを実行しているサーバー上で任意のコマンドが実行されてしまう可能性があります。

→ CVE-2026-45293 の詳しい解説と今すぐやることはこちら

Media folder Addon

  • 深刻度: 8.6 / 10 (重要)
  • CVE: CVE-2026-11974

このプラグインには、認証されていない攻撃者が、サーバー上の任意のファイルを不正にダウンロードしたり、あなたのサイトから外部に不正なリクエストを送信したりできてしまう脆弱性があります。

→ CVE-2026-11974 の詳しい解説と今すぐやることはこちら

UsersWP

  • 深刻度: 7.4 / 10 (重要)
  • CVE: CVE-2026-13690

このプラグインには、ユーザーのログイン情報（IDとパスワード）を知っている攻撃者が、二段階認証をすり抜けて不正にログインできてしまう脆弱性があります。

→ CVE-2026-13690 の詳しい解説と今すぐやることはこちら

GTM4WP – A Google Tag Manager (GTM) plugin for WordPress

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-16597

このプラグインが有効な場合、認証されていない攻撃者が、WooCommerceの請求情報フィールドに悪意のあるスクリプトを埋め込み、サイト訪問者のブラウザで実行できてしまう脆弱性があります。

→ CVE-2026-16597 の詳しい解説と今すぐやることはこちら

Database for CF7

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-13425

このプラグインには、認証されていない攻撃者が、お問い合わせフォームを通じて悪意のあるスクリプトをサイトに保存し、そのページを閲覧したサイト訪問者のブラウザで実行できてしまう脆弱性があります。

→ CVE-2026-13425 の詳しい解説と今すぐやることはこちら

Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-16655

このプラグインには、認証されていない攻撃者が、フォームの入力欄に悪意のあるスクリプトを埋め込み、サイト訪問者のブラウザで実行できてしまう脆弱性があります。

→ CVE-2026-16655 の詳しい解説と今すぐやることはこちら

Easy Digital Downloads – eCommerce Payments and Subscriptions made easy

  • 深刻度: 7.2 / 10 (重要)
  • CVE: CVE-2026-12476

このプラグインには、ショップマネージャーレベル以上の権限を持つ認証されたユーザーが、悪意のあるファイルをアップロードし、サーバー上でプログラムを実行できてしまう危険性があります。

→ CVE-2026-12476 の詳しい解説と今すぐやることはこちら

日頃の備え

ご自身のWordPressサイトを守るために、日頃から以下の対策を心がけましょう。 まず、使用しているプラグインやテーマは常に最新の状態に保ち、自動更新を有効にすることが推奨されます。不要なプラグインやテーマは削除し、サイトのセキュリティリスクを減らしてください。 また、万が一の事態に備え、定期的にサイト全体のバックアップを取る習慣をつけましょう。これにより、問題が発生した場合でも迅速に復元できます。

出典