Ninja Forms WordPressプラグインのFile Uploadsアドオンの極度に危険な脆弱性により、脅威行為者は脆弱なデプロイメントを乗っ取ることができる可能性があるとセキュリティ企業Defiantは警告しています。
Defiantによると、この影響を受けるアドオンは約50,000のウェブサイトで使用されており、同社はこの脆弱性を悪用する数千の試みを確認しています。
CVE-2026-0740（CVSS スコア 9.8）として追跡されているこのセキュリティ上の欠陥は、ファイル型検証の欠落に起因する認証なしの任意ファイルアップロード問題として説明されています。
このアドオンはNinja Formsプラグインのためのファイルアップロード機能を提供するように設計されました。CVEはアップロードされたファイルをアップロードフォルダに保存する関数に存在します。
実行するファイル型チェックは不十分です。ファイルがアップロードディレクトリに移動される前に宛先ファイル名をチェックしないため、.php拡張子のファイルをアップロードすることが可能です。
「ファイル名のサニタイゼーションが行われていないため、悪意のあるパラメータはパストラバーサルを促進し、ファイルがWebルートディレクトリにさえ移動されることを許可します」とDefiantは説明しています。
認証なしの攻撃者はこの脆弱性を悪用して、脆弱なウェブサイトのサーバーに悪意のあるPHPコードをアップロードし、その後ファイルにアクセスしてリモートコード実行（RCE）を達成することができるとDefiantは述べています。
セキュリティ企業によると、攻撃者はバグを悪用してWebシェルをデプロイし、ターゲットサイトの完全な制御を奪う可能性があります。
CVE-2026-0740はDefiantによると、1月にWordfenceバグ報奨プログラムを通じてセキュリティ研究者Sélim Lanouar によって特定・報告されており、彼はこれに対して$2,145の報奨金を受け取りました。
ユーザーはできるだけ早くNinja Forms – File Uploadsバージョン3.3.27にアップグレードするようお勧めします。すべての以前のバージョンがこのバグの影響を受けています。
