WordPressで寄付・募金の受付サイトを構築できるプラグイン「GiveWP – Donation Plugin and Fundraising Platform」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.16.7.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、事前のアカウントを持たない第三者が細工したデータをサイトに送り込み、サーバー上で不正な処理を実行される可能性があります（成立には後述の条件があります）。
対策として、バージョン 4.16.7.2 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、寄付手続きの中で利用者の氏名などの情報を扱う処理に存在します。影響を受けるのは、当該プラグインを有効化し、寄付フォームを公開しているサイトです。
攻撃者は自分で登録した利用者アカウントの氏名欄を入口として、通常の文字列に見せかけた細工データをサイト内部に持ち込める状態にありました。成立には、サイトが特定形式（従来型・オプション型）の寄付フォームを公開しており、決済まわりが有効であることが条件となります（管理者や利用者による特別な操作は不要です）。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 攻撃者が用意した命令をサーバー側で処理させ、サイトの動作を不正に操作される
- 結果として、サイトの改ざんや、サイトの乗っ取りにつながる可能性
被害の深刻度は高い一方で、成立には「脆弱性詳細」に記載した条件が必要です。
技術的な詳細
本脆弱性は、内部に保存されたデータを元の形（プログラムが扱うオブジェクト）に復元する処理で、復元してよい種類を制限していなかったことが原因です。仕組みは次のとおりです。
- 利用者の氏名欄に、通常の文字列に見せかけた「特殊な形式のデータ」を保存できてしまう
- このデータが寄付手続きの中で、内部の一時保存領域（セッション）へそのまま引き継がれる
- 後続の処理で、このデータを制限なしに復元してしまうため、攻撃者が指定した内容を復元できる
- 復元をきっかけに、同梱する別の部品が連鎖的に動き、最終的に不正な処理の実行につながり得る
対策版では、（1）氏名欄などに特殊な形式のデータが含まれる場合はそもそも受け付けない、（2）データを復元する際に復元してよい種類を制限する、（3）連鎖に使われる部品への想定外の呼び出しを遮断する、（4）すでに保存されてしまった不正なデータを除去する、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.16.7.2 以降）へ更新してください。更新すると、すでに保存されてしまった不正なデータを取り除く処理も自動的に実行されます。
- 被害確認
- 寄付者の一覧やWordPressの利用者一覧で、氏名が文字化けのように見えたり、記号を多く含む不自然な値になっているアカウントが無いか確認してください。特に、氏名欄が
O:またはa:という文字から始まっていたり、";や":{といった記号の並びを含む場合は、細工されたデータが保存された痕跡の可能性があります。該当が見つかった場合は、その値を削除・修正してください。 - Webサーバーのアクセスログで、寄付・利用者登録の送信先に対する、身に覚えのない連続したPOSTリクエストが無いか確認すると、悪用の試みを把握しやすくなります。
- 寄付者の一覧やWordPressの利用者一覧で、氏名が文字化けのように見えたり、記号を多く含む不自然な値になっているアカウントが無いか確認してください。特に、氏名欄が
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、この種の細工データを含むリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なアカウントや、身に覚えのない改ざんが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
GiveWP – Donation Plugin and Fundraising Platform 4.16.7.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-82222 
（公開日 2026年8月28日 更新日 2026年8月28日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-82222 悪用確率 0.42% （上位65%） 2026年8月31日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
GiveWP プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
