WordPressプラグイン「Participants Database」に任意のファイル削除の脆弱性

削除されるファイルによって、次のような影響が想定されます。

• サイトの動作に必要なファイルが削除され、サイトが正常に表示されなくなる
• とくに設定ファイルが削除された場合、サイトが初期設定前の状態に戻り、第三者に設定をやり直される

なお、この処理で行われるのはファイルの削除のみで、ファイルの内容が読み取られたり外部へ持ち出されたりすることはありません。

本脆弱性は、削除するファイルの場所を組み立てる際に、その場所が正しい範囲に収まっているかを確認していなかったことが原因です。仕組みは次のとおりです。

• アップロード項目に保存される値は、本来アップロードされたファイルの名前だけが入る前提
• 実際にファイルを添付せず、入力値として文字列だけを送信した場合、値の確認は「空かどうか」のみで、ファイル名として不自然な文字列でもそのまま保存
• 登録データの削除処理では、保存されたこの値をアップロード保存先のフォルダ名にそのままつなげて、削除するファイルの場所を組み立てる仕組み
• つなげた結果が保存先フォルダの内側を指しているかの確認がなく、上位のフォルダを指す書き方を含む値であれば、保存先の外にあるファイルも削除の対象

対策版では、WordPress標準の安全な削除機能に置き換えられ、指定したフォルダの内側にあることを確認したうえでのみ削除が行われるようになっています。

CWE-22 パス・トラバーサル（任意のファイル削除） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（2.7.8.5 以降）へ更新してください。
   • 更新が完了するまでの間、登録データの削除、とくに「関連ファイルも一緒に削除する」設定での削除は控えてください。この操作を行わなければ、問題のある値が保存されていても削除は発生しません。更新後は、通常どおり削除して差し支えありません。
2. 被害確認
   • 更新後、管理画面の参加者一覧（List Participants）で、ファイル項目・画像項目の値を確認してください。通常はファイル名だけが表示されます。上位のフォルダを指す記号（ピリオドやスラッシュの並び）を含む値や、アップロードした覚えのないファイル名が入っている登録データが見つかった場合は、外部から不正な値を登録された可能性があります。
   • プラグインのデバッグログを有効にしている場合は、削除処理の記録（deleting file を含む行）を確認してください。記録されたファイルの場所が、アップロード保存先（通常は wp-content/uploads/participants-database/ 配下）以外を指していれば、悪用の痕跡と考えられます。
   • あわせて、サイトが正常に表示されるか、動作に必要なファイルが残っているかを確認してください。
3. セキュリティ対策の強化（任意）
   • WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、上位のフォルダを指す記号を含む不正な送信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。

⇒ 身に覚えのないファイルの消失や、サイトの表示異常が確認された場合は、WordPressの専門家への相談を推奨します。

Participants Database 2.7.8.4 までのバージョン

CVE-2026-28189
（公開日 2026年8月13日 更新日 2026年8月13日）

基本値: 9.1 (緊急)  　[Wordfence]

CVE-2026-28189 悪用確率 0.43% （上位64%） 2026年10月22日時点 

（今後30日以内に悪用される確率 )