WordPressで店舗・企業情報などの一覧サイト（ディレクトリサイト）を構築するプラグイン「GeoDirectory – WP Business Directory Plugin and Classified Listings Directory」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.8.169 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトに登録済みの低権限アカウント（購読者レベル）を持つ第三者によって、サーバー上のファイルが削除される可能性があります。
対策として、バージョン 2.8.170 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、掲載情報（リスティング）の保存処理と、その下書きを削除する処理に存在します。
これらは本来、ログインしたユーザーが自分の掲載情報を編集したり、書きかけの下書きを破棄したりするための機能です。
しかし、処理の対象が本当にGeoDirectoryの掲載情報であるかの確認が不足していたため、本来は対象外であるはずのデータにまで処理が及ぶ状態となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サーバー上のファイルの削除
- 攻撃者が指定したファイルが、サーバー上から削除される
- WordPressの動作に必要な設定ファイルなどが削除された場合、サイトの表示や管理画面へのログインができなくなる
- 削除されたファイルを元に戻すには、バックアップからの復元が必要になる
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- サイトが、利用者からの新規登録と掲載情報の投稿を受け付けている
- 攻撃者が、サイトに登録済みの低権限アカウント（購読者レベル）でログインできる
管理者による特別な操作は必要とせず、攻撃者側の操作のみで成立します。
技術的な詳細
WordPressでは、画像などのアップロードファイルを「メディア」という種類のデータとして管理しています。メディアを削除すると、そのデータに記録されているファイルの保存場所を参照し、実際のファイルもあわせて消す仕組みになっています。
GeoDirectoryの掲載情報を保存する処理には、次の2点の問題がありました。
- データの種類（投稿タイプ）が正しいかどうかを確認する処理が、リクエストの本文に含まれる値だけを見ていたため、同じ項目をURL末尾のパラメータ（クエリ文字列）側に置くと、確認をすり抜けられる状態でした。
- 送信された内容を選別せずにWordPressの保存処理へそのまま引き渡していたため、本来プラグインが扱わない項目まで書き込める状態でした。
この2点により、攻撃者は自分が作成した掲載情報の下書きを「メディア」として扱われるデータに作り替え、そこに任意のファイルの保存場所を書き込むことが可能でした。
さらに、下書きを削除する処理では、削除対象がGeoDirectoryのデータであるかどうかや、記録されているファイルの保存場所が適切な範囲に収まっているかの確認が行われていませんでした。
そのため、作り替えたデータを削除させることで、書き込んでおいた場所のファイルがサーバーから削除される状態となっていました。
対策版では、扱う対象がGeoDirectoryのデータであることの確認がURL末尾のパラメータも含めて行われるようになり、外部から送信された不要な項目を保存前に取り除く処理と、削除処理における対象データの確認が追加されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.8.170 以降）へ更新してください。
- 被害確認
- サイトの表示、およびWordPress管理画面へのログインが正常に行えるかを確認してください。設定ファイルが削除されている場合、これらに支障が出ます。
- WordPress管理画面の「メディア」に、身に覚えのない項目や、画像が表示されない項目が登録されていないか確認してください。攻撃の過程で、掲載情報の下書きがメディアとして登録されます。
- サーバーのアクセスログで、「admin-ajax.php」宛のリクエストのうち、URLの「?」以降に
post_type=attachmentを含む記録がないか確認してください。掲載情報の投稿や保存を行う通常の操作で、この値がURL側に付くことはありません。該当する記録があれば、攻撃が試みられた可能性があります。
- 追加のセキュリティ対策
- 本脆弱性は、権限の低い登録ユーザーであっても悪用が可能です。会員登録を開放している場合は、登録の受け付けが必要かどうかを一度ご確認ください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、ファイルの保存場所をさかのぼるような文字列を含むリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ファイルの欠損や、身に覚えのないメディアの登録が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory 2.8.169 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-19091 
（公開日 2026年8月11日 更新日 2026年8月11日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.1 (重大) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-19091 悪用確率 0.83% （上位46%） 2026年8月12日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
GeoDirectory プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
