WordPressプラグイン「Super Forms」に任意のファイルアップロードの脆弱性

WordPressでドラッグ＆ドロップによるフォーム作成を行うプラグイン「Super Forms – Drag & Drop Form Builder」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 6.3.313 までのすべてのバージョンです。

本脆弱性を悪用された場合、ログインしていない第三者によって、サーバー上に任意のファイルを設置される可能性があります。

対策として、バージョン 6.3.314 以降への更新を推奨します。

脆弱性詳細

本脆弱性は、フォームの送信内容をPDFファイルとしてサーバーに保存する処理に起因します。
この処理では、保存するファイルの名前・種類・保存先について必要な確認が行われていない状態にあり、外部から送信された内容が、そのままサーバー上のファイルとして作成される状況となっていました。

想定される被害

この脆弱性が悪用された場合、以下のような被害が想定されます。

サーバー上への不正なファイルの設置

ファイルの名前・拡張子・中身をいずれも攻撃者が指定できるため、サーバー上で動作する種類のファイルが設置される
保存先も、本来のアップロード用フォルダの外に及ぶ

設置されたファイルがサーバー上で動作する設定になっている場合、サイトの内容が書き換えられる可能性があります。

被害発生の条件

プラグインが有効化されている

特別な前提はなく、管理者やサイト利用者の操作を必要とせず、攻撃が行われる可能性があります。
なお、PDF生成機能を利用していないフォームであっても、この処理には到達できる状態でした。

技術的な詳細

本脆弱性は、送信されたデータをもとにファイルを保存する処理において、以下の確認が行われていなかった点が原因です。

ファイル名に、上位フォルダをたどる指定などの不適切な文字が含まれていないかの確認
拡張子がPDFに限定されているかの確認
保存する中身が、実際にPDFの形式であるかの確認
保存先が、本来のアップロード用フォルダの内側に収まっているかの確認

また、この処理を呼び出す際に本来必要となる正当性の確認についても、ログインしていない第三者でも通過できる状態でした。

攻撃の流れは、おおむね次のとおりです。

攻撃者が、送信に必要な情報を事前に取得する（手法の詳細は省略）
ファイル名と中身を細工した送信データを、フォームの受付窓口へ送信する
指定した名前・内容のファイルがサーバー上に作成される

対策版では、ファイル名の無害化、拡張子のPDFへの固定、中身がPDF形式であることの確認、保存先がアップロード用フォルダの外へ出ないことの確認、およびPDF生成機能が有効な場合にのみ処理を行う制限が追加されています。

脆弱性の種類

CWE-434 危険なタイプのファイルの無制限アップロード

推奨対応事項

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

プラグインの更新
- 速やかに、プラグインを対策バージョン（6.3.314 以降）へ更新してください。
被害確認
- WordPress管理画面の「メディア」から、身に覚えのないファイルが登録されていないか確認してください。
- サーバー上の「wp-content/uploads」フォルダ内にある、Super Formsがファイルを保存するフォルダを確認し、PDF以外の拡張子のファイル（特に .php や .phtml など、サーバー上で動作する種類のもの）が含まれていないか確認してください。
- プラグインを更新した日時より前に作成されたファイルが、確認の対象となります。
- 不審なファイルが見つかった場合は、削除せずに保全したうえで、専門家へご相談ください。
追加のセキュリティ対策
- アップロード用フォルダ内でプログラムが動作しないようサーバー側で設定しておくと、万一ファイルが設置された場合でも、実際に動作することを防げます。設定方法はご利用のサーバー環境により異なるため、サーバー提供元または専門家へご確認ください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）の導入は、本脆弱性を狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。

⇒不審なファイルや、サイトの表示・動作に心当たりのない変化が確認された場合は、WordPressの専門家などへの相談を推奨します。

影響を受けるバージョン

Super Forms – Drag & Drop Form Builder 6.3.313 までのバージョン

脆弱性情報 (CVE-ID)

CVE-2026-14894
（公開日 2026年7月10日更新日 2026年7月10日）

脆弱性の深刻度 (CVSS v3)

基本値: 9.8 (緊急) 　[Wordfence]

脆弱性脅威度(EPSS)

CVE-2026-14894 悪用確率 0.74% （上位49%） 2026年7月27日時点

（今後30日以内に悪用される確率 )

参考　

Super Forms <= 6.3.313 – Unauthenticated Arbitrary File Upload via ‘data’ Parameter (datauristring / value)

ソフトウェア脆弱性情報の著作権に関する注意事項

This record contains material that is subject to copyright.

License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.

License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.