WordPressのブロックエディタでお問い合わせフォームや申込フォームを作成するプラグイン「JetFormBuilder」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.6.4 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、管理者権限を持つアカウントを作成される可能性があります。
対策として、バージョン 3.6.5.3 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、フォームの送信を受け付ける処理に存在します。JetFormBuilder で作成したフォームを設置しているサイトが対象で、ログインしていない第三者が悪用できる状態でした。
送信内容を処理する際に、どのフォームへの送信かを確認する手順が十分ではなく、サイト運営者が用意したものではない内容が、フォームの定義として読み込まれる状態となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 管理者権限を持つアカウントの作成
サイト運営者が作成していない管理者アカウントが追加されます。そのアカウントで管理画面にログインされると、投稿の編集やプラグイン設定の変更など、管理者ができる操作が行われる可能性があります。 - 登録済みアカウントの情報変更
既存ユーザーのメールアドレスなど、アカウント情報が変更される可能性があります。
影響が及ぶ範囲は、ユーザーアカウントの作成・変更にあたる操作です。サーバー上で任意のプログラムを実行する、ファイルを操作するといった処理は、3.6.4 までのバージョンでも実行できないよう制限されていました。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- JetFormBuilder で作成したフォームが公開されており、誰でも送信できる状態にある
- フォームの定義として解釈される内容を含む投稿が、サイト上に存在する
サイト運営者の操作は必要ありません。
技術的な詳細
送信先フォームの確認が行われていなかった
フォームの送信には、どのフォームへの送信かを示すID（フォームID）が添えられます。プラグインはこのIDから投稿を取り出し、その内容を解析してフォームの構成（入力欄や検証ルール）を組み立てます。
このとき、取り出した投稿が JetFormBuilder のフォームであるかは確認されていませんでした。そのため、フォームとして作成されたものではない投稿を指定した場合でも、その内容がフォームの定義として読み込まれていました。
入力チェックの仕組みが悪用され得る状態だった
JetFormBuilder には、入力値の検証をサーバー側の処理に任せる機能（Advanced Validation のサーバーサイドコールバック）があります。呼び出す処理の名前はフォームの定義の中に記載され、送信時にその処理が実行されます。
実行を許さない処理は一覧（禁止リスト）で拒否する方式でしたが、3.6.4 までの一覧には、ユーザーの作成・更新を行う処理が含まれていませんでした。上記のフォーム確認の不足と組み合わさることで、サイト運営者が用意したものではない検証ルールが実行される状態となっていました。
対策版での修正
バージョン 3.6.4.1 で、次の3点が同時に修正されました。
- フォームIDが JetFormBuilder の公開済みフォームを指しているかを確認するようになった（編集中フォームのプレビューには、編集権限と使い捨ての確認コードの両方が必要）
- ユーザーの作成・更新を行う処理が、禁止リストに追加された
- 検証ルールの実行時に、そのフォームに本来登録されているルールであることを確認するようになった
その後のバージョンでも、実行できる処理をあらかじめ許可されたものだけに限る方式へ変更されるなど、同じ機能に対する強化が続けられています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.6.5.3 以降）へ更新してください。
- 本脆弱性は 3.6.4.1 で修正されていますが、それ以降のバージョンでも複数のセキュリティ修正が行われているため、最新版への更新を推奨します。
- 被害確認
- WordPress管理画面の「ユーザー」を開き、管理者権限のアカウントを絞り込んで、身に覚えのないアカウントがないかご確認ください。登録日の新しい順に並べ替えると確認しやすくなります。
- WordPressは新規ユーザーが作成されると管理者宛に通知メールを送信します。心当たりのないユーザー作成の通知メールが届いていないか、あわせてご確認ください。
- 既存の管理者アカウントについても、メールアドレスが意図せず変更されていないかご確認ください。
- 不審なアカウントが確認された場合
- プラグインの更新を終えたうえで、該当アカウントを削除してください。
- 管理者アカウントのパスワードを変更し、サイト内に意図しない変更がないかご確認ください。
⇒ 身に覚えのない管理者アカウントが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
JetFormBuilder 3.6.4 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-12793 
/ RESERVED（2026年9月16日 時点）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
－
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
JetFormBuilder プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
