WordPressに人事・会計・CRM機能を追加するプラグイン「ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.17.7 までのすべてのバージョンです。
本脆弱性を悪用された場合、メール受信の連携機能を利用しているサイトにおいて、ログインしていない第三者が、取り込み対象のメールアドレスへメールを送ることで、本来は受け付けないはずの種類のファイル（プログラムとして動作し得るファイルを含む）をサーバーへ保存できてしまう可能性があります。
対策として、最新バージョンへの更新を推奨します。
脆弱性詳細
本脆弱性は、CRM機能の「Email Connect」（受信メールをメールサーバーから自動で取り込み、顧客とのやり取りの履歴として記録する機能）に存在します。影響を受けるのは、CRMモジュールを有効にし、かつメール受信の連携機能を設定しているサイトです。
攻撃者は取り込み対象のメールアドレスへメールを送信できる状態であれば十分で、WordPressへのログインや、サイト運営者側の操作は必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
ファイルの保存に関する影響
- 添付ファイルの種類の制限を受けずに、任意の内容のファイルがサーバーへ保存される
- ファイルの保存場所が制限されず、外部から直接アクセスできる場所へ書き出される可能性
保存されたファイルがサーバー上でプログラムとして実行できる状態であった場合、サイトの改ざんや情報の持ち出し、サイトの乗っ取りにつながるおそれがあります。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- CRMモジュールと、メール受信の連携機能が有効になっている
- 攻撃者が、取り込み対象となっているメールアドレスを把握している
- 保存先のフォルダで、プログラムの実行が許可される設定になっている
なお、取り込み処理はWordPressの定期実行処理によって行われるため、メール送信の直後ではなく、次回の同期タイミングで実行されます。
技術的な詳細
本脆弱性は、受信メールの添付ファイルを保存する処理において、次の2点の不備が重なって発生していました。
1. 保存先が確認されていなかった
- 添付ファイル名が、加工されないまま保存名として使われていました
- ファイル名に含まれるフォルダの区切りや、上位フォルダを指す表記が取り除かれないため、指定次第で本来の保存先とは別の場所へファイルを書き出せる状態でした
- 本来の保存先フォルダには外部からのアクセスを拒否する設定ファイルが置かれていますが、この設定はそのフォルダの中だけに効くため、外へ書き出されたファイルには効果がありません
2. ファイルの種類が確認されていなかった
- プラグインはファイル名から拡張子を取り出してはいましたが、その値は同じ名前のファイルが既にある場合の名前の付け替えにしか使われていませんでした
- 保存してよい種類かどうかの判定には使われていなかったため、プログラムとして動作し得る拡張子であっても、そのまま受け入れられる状態でした
補足：取り込み対象メールの判別について
取り込むメールの判別は、メールの「References」ヘッダー（返信元のメールを識別するための情報）が所定の形式に一致するかどうかで行われています。このヘッダーは送信側で自由に指定できるため、この判別が攻撃を防ぐ役割は果たしていませんでした。
対策版での修正内容
- 添付ファイル名からフォルダを指す表記を取り除く処理を追加
- 保存が許可された種類かどうかを確認し、プログラムとして動作し得る拡張子を拒否する処理を追加
- 書き込み直前に、保存先が本来のフォルダの中に収まっているかを再確認する処理を追加
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを最新バージョンへ更新してください。
- 被害確認
- まず、WordPress管理画面のCRMメニューから、メール受信の連携機能（Email Connect / IMAP）を利用しているかご確認ください。利用していない場合、本脆弱性の影響は受けません。
- 利用している場合は、CRMの活動履歴に、身に覚えのない差出人からの受信メールが記録されていないか確認してください。
- あわせて、サーバー上の
wp-content/uploads/フォルダ（およびその配下）に、身に覚えのないファイルや、.php など本来アップロードされないはずの拡張子のファイルが無いか確認してください。特に、本来の保存先であるwp-content/uploads/crm-attachments/の外に置かれた不審なファイルは注意が必要です。該当ファイルが見つかった場合は、開かずに隔離・削除し、専門家へ相談してください。
- 更新までの一時的な対応（任意）
- すぐに更新できない場合は、CRMのメール受信の連携機能を一時的に無効にすることで、取り込み処理そのものが行われなくなります。
⇒ 不審なファイルや、身に覚えのない改ざんなどが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce 1.17.7 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18080 
（公開日 2026年8月26日 更新日 2026年8月26日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18080 悪用確率 0.67% （上位50%） 2026年8月30日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
ERP プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
