Contact Form 7 のフォームにドラッグ＆ドロップ形式のファイル添付機能を追加するプラグイン「Drag and Drop Multiple File Upload for Contact Form 7」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.3.9.8 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、フォームからのファイル送信を通じて、本来は受け付けないはずの種類のファイルをサーバーへ保存できる可能性があります。
対策として、バージョン 1.3.9.9 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、フォームから送信されたファイルを受け付ける処理に存在します。影響を受けるのは、ファイルを添付できるフォームを一般に公開しているサイトで、悪用はフォームへのファイル送信を通じて行われます。
被害発生の条件
本脆弱性の悪用が成立するには、以下の条件が重なる必要があります。
- フォームのファイル添付項目が、受け付けるファイル種別を限定しない設定（すべての種類を許可する設定）で運用されていること。特定の拡張子のみを許可する通常の設定では、この経路は成立しません。
- Webサーバーが、フォルダー単位で動作設定を上書きできる仕組み（一部のサーバー構成で使われる設定ファイル）を有効にしていること。
想定される被害
この脆弱性が悪用された場合、ファイル種別の制限をすり抜けて、本来は保存されないはずのファイルがサーバー上の公開フォルダーへ保存されるおそれがあります。保存されたファイルは、インターネットからそのまま参照できる場所に置かれるため、次のような被害につながる可能性があります。
- サイト上に不正なページやスクリプトが設置され、そのページを開いた閲覧者のブラウザで不正な処理が実行される
- 上記の条件（サーバーの動作設定を上書きできる構成）が満たされる環境では、設置されたファイルを介してサーバー側の動作が変更され、プログラムが実行される状態に至る
なお、解析の範囲では、いわゆるプログラムファイル（PHPファイル）をそのままの形で実行できる状態に置く経路は成立しませんでした。実際に保存が可能となるのは、HTMLファイルや一部のサーバー設定ファイルなどでした。
技術的な詳細
本脆弱性は、アップロードされたファイル名の「検証するタイミング」と「実際に保存するタイミング」がずれていたことに起因します。
このプラグインは、危険なファイルを防ぐために拡張子を確認したうえで、ファイル名から不要な文字を取り除く加工を行っていました。しかし、拡張子の確認が「文字を取り除く前の名前」に対して行われていたため、ファイル名の途中に通常は表示されない制御文字を紛れ込ませておくと、確認の時点では安全なファイルに見え、加工後に元の危険な拡張子が復元される、という食い違いが生じていました。
その結果、確認をすり抜けたファイルが、危険な名前のままサーバーへ保存され得る状態となっていました。
対策版（1.3.9.9）では、ファイル名を加工した「後」の最終的な名前に対して拡張子を確認するよう順序が見直され、あわせて、名前に紛れ込ませる制御文字を受け付けないよう入力チェックが強化されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.3.9.9 以降）へ更新してください。
- 被害確認
- サーバー上のアップロード保存先フォルダー（通常は
wp-content/uploads/wp_dndcf7_uploads/wpcf7-files/配下）に、身に覚えのないファイルが無いか確認してください。とくに、フォームで受け付けているはずのない種類のファイル（.html・.svg・.shtml など）や、web.config・.user.ini といったサーバー設定用のファイルが置かれていないかを重点的に確認してください。該当するファイルが見つかった場合は、開かずに隔離・削除し、専門家へ相談してください。 - Webサーバーのアクセスログで、ファイル送信の受付先（
admin-ajax.phpに対するaction=dnd_codedropz_uploadのリクエスト）に、短時間に繰り返される送信など不審な記録が無いか確認すると、悪用の痕跡を把握しやすくなります。
- サーバー上のアップロード保存先フォルダー（通常は
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、不正なファイルアップロードを狙う通信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なファイルや、身に覚えのない改ざんなどが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Drag and Drop Multiple File Upload for Contact Form 7 1.3.9.8 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18781 
（公開日 2026年8月21日 更新日 2026年8月21日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18781 悪用確率 0.32% （上位76%） 2026年8月25日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Drag and Drop Multiple File Upload for Contact Form 7 プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
