WordPress向けフォーム作成プラグイン「Forminator Forms」に重大な脆弱性が見つかり、数千件のウェブサイトがリモートコード実行(RCE)の危険にさらされる可能性があると、WordPressセキュリティ企業のDefiantが警告しています。
CVE-2026-15748として追跡されているこの脆弱性(CVSSスコア9.8)は、この人気フォームビルダープラグインのhandle_file_upload関数を通じた任意のファイルアップロードに関するものと説明されています。
該当関数におけるファイルタイプ検証の不備により、認証を受けていない攻撃者が実行可能ファイルをアップロードでき、結果としてコード実行につながる恐れがあります。
Defiantによると、この問題は複数の脆弱性が組み合わさって発生するもので、攻撃者はフォーム上のSelectフィールドを使ってレコードを偽造し、アップロード関数に渡されるフィールド設定を掌握した上で、プラグインの危険なファイルタイプのブロックリストを回避できるとしています。
「これはhandle_file_uploadにおけるファイルタイプ検証の不備が原因です。危険な拡張子のブロックリストは完全一致によるキー照合を行っているため、パイプ区切りの代替MIMEタイプキーによって回避されてしまいます。さらに、偽造されたSelectフィールドの値を通じて注入された、攻撃者が制御可能なアップロードフィールド設定を公開の送信ハンドラーが信頼してしまう点も組み合わさっています」と、Defiantは説明しています。
デフォルト設定では、アップロードされたファイルはPHP実行を防止する保護されたディレクトリに配置されます。しかし、カスタムファイルアップロードのストレージルートが設定されている場合、この保護が適用されず、アップロードされたファイルが直接リクエストされると攻撃者が仕込んだPHPコードが実行されてしまいます。
「任意のファイルアップロードの脆弱性全般に言えることですが、これによりウェブシェルなどの手法を用いたサイトの完全な乗っ取りにつながる可能性があります」とDefiantは指摘しています。
この脆弱性はForminator Formsのバージョン1.56.1以前すべてに影響し、7月31日にリリースされたバージョン1.56.2で修正されました。
同プラグインのインストール数は60万件を超えており、WordPressのデータによれば、そのうち半数が脆弱なバージョンを使用しています。つまり、30万件を超えるウェブサイトが攻撃にさらされる可能性があるということです。現時点では、この脆弱性が実際に悪用されたという報告はありません。
