WordPressでお問い合わせフォームの送信内容をデータベースに保存するプラグイン「Database for Contact Form 7, WPforms, Elementor forms」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.5.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、第三者が送信した内容をきっかけとして、管理者の操作時にサーバー上のファイルが削除される可能性があります。
対策として、バージョン 1.5.2 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、フォームで添付されたファイルの置き場所を記録する処理と、記録された値をもとにファイルを削除する処理の双方で、値が正しいかを確かめる仕組みが不足していたことに起因します。
その結果、フォームに送信された内容が、そのままファイルの置き場所として記録され得る状態になっていました。
管理者が管理画面でそのお問い合わせを保存した際に、本来は対象ではないファイルが削除される可能性がある状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
ファイル削除に関する影響
- WordPressが動作している権限で削除できるファイルが、削除される
- サイトの動作に必要なファイルが削除され、サイトが正常に表示されなくなる
- WordPressの設定ファイルが削除され、サイトが初期設定前の状態に戻る
- WordPressの設定ファイルが削除された場合は、サイトが初期設定前の状態に戻ります。この状態を悪用されると、第三者にサイトを操作されるおそれがある
なお、ファイルの内容が読み取られたり、書き換えられたりする経路は確認されていません。影響は「削除」に限られます。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- ファイル添付欄のあるフォームが公開されており、送信内容を保存する設定になっている
- 攻撃者が、そのフォームに細工した内容を送信（送信にログインは不要）
- 管理者が、管理画面「CRM Entries」で該当のお問い合わせを開き、内容を保存
削除処理が動くのは、最後の「保存」を行った時点です。お問い合わせを開いて内容を確認しただけでは発生しません。
一方で、ファイル欄に手を加えていない場合や、「Remove」（削除）を押していない場合でも、保存を実行すると処理が動きます。
技術的な詳細
本脆弱性の成立には、次の2つの不備が関係しています。
(1) 記録される値の確認不足
添付ファイルがある場合、プラグインは実際にコピーしたファイルの保存場所を記録します。しかし添付がない場合は、送信された文字列がそのまま「保存場所」として記録されていました。
値を無害化する処理は特定の種類のファイル項目にしか適用されておらず、通常のファイル項目には適用されていませんでした。
(2) 削除する場所の確認漏れ
削除処理では、記録された値をプラグイン専用フォルダーの場所と単純に連結してファイルを消していました。連結後の場所が専用フォルダー内に収まっているかの確認は行われていませんでした。そのため、上位のフォルダーをたどる記述を含む値が記録されていると、専用フォルダーの外にあるファイルが削除対象になり得ました。
さらに、どのファイルを残すかを見分ける仕組みも正しく働いていませんでした。本来は、画面上に表示されたままのファイルは削除しない作りです。しかし記録された値の書き方によっては、すべてのファイルが「残っていない」と判断され、保存するたびに削除処理へ進む状態になっていました。
対策版では、削除前に指定先の実際の場所を解決したうえで、プラグイン専用フォルダー内であることを確認する処理が追加されました。あわせて、ファイル項目の判定と値の無害化も見直されています。
脆弱性の種類
CWE-22 パス・トラバーサル 
（想定されたフォルダーの外を指定できる問題）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.5.2 以降）へ更新してください。
- 更新が完了するまでの間、管理画面でお問い合わせ内容を保存する操作は行わないでください。
保存を行うと削除処理が動く可能性があります（開いて閲覧するだけであれば影響はありません）。
- 被害確認
- 更新後、管理画面「CRM Entries」のお問い合わせ一覧で検索欄が利用できる場合は、
../と入力して検索してください。
該当するお問い合わせが見つかった場合、細工された内容が記録されている可能性があります。 - 検索が利用できない場合は、ファイル添付欄のあるフォームのお問い合わせを開き、ファイル項目の表示を確認してください。
お問い合わせを開いて確認するだけであれば、削除処理は動きません。 - 通常のファイル名には現れない記号や、フォルダーをさかのぼる記述を含む値が表示されていないかご確認ください。
- 不審な内容が見つかった場合は、編集・保存は行わず、そのお問い合わせを削除してください。
- あわせて、サイトが正常に表示されるか、WordPress管理画面に問題なくログインできるかをご確認ください。
ファイルが実際に削除されていた場合、これらに異常が現れます。
- 更新後、管理画面「CRM Entries」のお問い合わせ一覧で検索欄が利用できる場合は、
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、フォルダーをさかのぼる記述を含む送信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ファイルの削除が疑われる場合や、サイトの表示に異常が確認された場合は、バックアップからの復旧を含めた対応が必要になります。WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Database for Contact Form 7, WPforms, Elementor forms 1.5.1 までのバージョン
なお、WordPress管理画面のプラグイン一覧では「Contact Form Entries」と表示されます。
脆弱性情報 (CVE-ID)
CVE-2026-9843
（公開日 2026年6月20日 更新日 2026年6月22日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.1 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-9843 悪用確率 0.94% （上位43%） 2026年7月28日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Database for Contact Form 7, WPforms, Elementor forms プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
