WordPressプラグイン「Everest Forms」にサーバー上のファイルが読み取り・削除される脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

本脆弱性は、フォーム送信時に含まれる「アップロード済みファイルの情報を受け取る」処理において、次の2点が不足していたことが原因です。

1. 送信されてきたファイル情報が、本当にこのサイトのアップロード保存場所にあるファイルを指しているかの確認
2. 指定されたファイルの場所が、アップロード保存場所の範囲内に収まっているか（範囲外を指していないか）の確認

本来、ファイルの場所を示す情報は、サイト内の決まった保存場所に限定して扱う必要があります。しかし修正前のコードでは、送信された値から機械的に文字列を組み立ててそのままファイル操作に使用しており、範囲外のファイルを指定されても検出できない状態でした。

対策版では、指定されたファイルの場所を正しい形に整えたうえで、アップロード保存場所の範囲内にあることを確認する処理が追加されています。

実際の攻撃手順は、模倣防止のため詳細を伏せたうえで概要のみ示します。

1. 攻撃者が、該当設定のフォームを特定する
2. フォーム送信時に、細工した追加データ（内容は〈省略〉）を含めて送信する
3. サーバー側で、その細工データがアップロード済みファイルの情報として扱われる
4. 通知メール送信時に、攻撃者が指定したサーバー上のファイルが添付される
5. 送信後の後処理で、同じファイルが削除される

CWE-22 パス・トラバーサル 
※本来アクセスが許可されているディレクトリの外側にあるファイルを、不正に操作される脆弱性

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（3.4.5 以降）へ更新してください。
2. 被害確認
   • 本脆弱性が悪用されると、フォームの通知メールにサイト運営者が添付した覚えのないファイルが含まれる形で痕跡が残ります。
     フォーム通知メールを受信している宛先（管理者メールアドレス等）の受信箱・送信履歴を確認し、身に覚えのない添付ファイル（wp-config.php など WordPress 内部のファイル名に見えるもの、あるいはフォーム送信内容と無関係なファイル名）が含まれる通知メールがないか確認してください。
   • 対象となるフォームの設定画面で、「エントリー情報を保存しない」設定が有効になっているフォームを洗い出し、ファイルアップロード項目が含まれているかを確認してください。該当する組み合わせのフォームがある場合、優先して調査対象としてください。
   • メールサーバー側のログ（送信ログ）で、通常の送信量を大きく上回る通知メールの送信履歴がないか確認することも有効です。
3. 流出した可能性がある場合の追加対応
   • 万が一、wp-config.php が添付されたメールの痕跡が確認された場合は、流出を前提とした対応が必要です。
   • データベースのパスワードの変更
   • WordPressの認証ソルト（wp-config.php内の SECRET_KEY 等）の再発行
   • 認証ソルトの再発行に伴い、既存のログインセッションは無効化されます。必要に応じて、利用者へ再ログインのご案内をお送りください。

⇒不審な痕跡が確認された場合、または判断に迷う場合は、WordPressの専門家への相談を推奨します。

Everest Forms — Contact Form, Payment Form, Quiz, Survey & Custom Form Builder 3.4.4 までのバージョン

CVE-2026-5478
（公開日 2026年4月20日 更新日 2026年4月20日）

基本値: 8.1 (重要) 　[Wordfence]

CVE-2026-5478 悪用確率 0.02% （上位94%） 2026年4月21日時点 

（今後30日以内に悪用される確率 )