「Chatterbug Forms」に認証なしの脆弱性　最新版も表示は1.0.2

米国立標準技術研究所（NIST）の脆弱性データベースNVDに11月13日19時17分（日本時間）、WordPressのフォーム作成プラグイン「Chatterbug Forms」の脆弱性「CVE-2026-125055」が載った。番号を振ったのはセキュリティ企業の米Wordfenceで、フォームの送信を受ける処理に欠陥があり、認証なしで任意のファイルをサーバーに置かれ、コードを動かされ得る。NVDの記載は直った版を挙げていないが、配布ページの最新の1.1は拡張子の確認を足している。1.1もプラグインに書かれたバージョンは1.0.2のままなので、ファイルで見分けて入れ替える。

1.0.2以前の全部が当たる

NVDの記載では、対象と深刻度は次のとおりだ。

• 対象: WordPressのプラグイン「Chatterbug Forms – Fast, Flexible WordPress Form Builder」
• 当たるバージョン: 1.0.2以前の全部
• 直った版: NVDの記載に無い（WordPress.orgの最新は1.1で、拡張子の確認を足した）
• CVE番号: CVE-2026-125055
• 深刻度: CVSS 3.1で9.8（Wordfenceの評価。NVDは独自の評価をしていない）
• 弱点の種類: CWE-434（危険な種類のファイルのアップロードを制限しない）

Wordfenceの説明を引くNVDの記載によると、フォームに添付されたファイルの拡張子を、サーバー側で確かめていなかった。種類の制限を設けていない欄では、許す種類が添付されたファイル自身の拡張子になるため、PHPのファイルも通る。公開ページに出す送信用の値は、アクセスの制限の役を果たしていない。WordPress.orgの配布ページでは、有効なインストールは30件と小さい。配布は2025年5月に始まり、変更履歴には最初の版の1.0.2しか載っていない。最後の更新は公表の3日前の11月10日だ。

readme.txtで見分ける

管理画面のプラグインの一覧で、バージョンを見ても見分けられない。WordPress.orgの配布物を確かめたところ、最新の1.1も、プラグインのファイルの先頭に書かれたバージョンは1.0.2のままだった。一覧には入れ替える前も後も1.0.2と出る。

見分けるには、サーバーのwp-content/pluginsの下にあるchatterbug-formsのフォルダのreadme.txtを開き、Stable tagの行を見る。1.0.2なら当たり、1.1のreadme.txtと同じく1.1なら最新版だ。Tested up toの行も、1.0.2は6.8、1.1は7.1.4で違う。

サーバーに入れない時は、ブラウザでサイトのアドレスの後ろにwp-content/plugins/chatterbug-forms/readme.txtを付けて開く。WordPress自体はプラグインのフォルダのファイルを隠さないので、多くのサーバーでは開ける。404ならプラグインが入っていないか、403なら外から読めない設定だ。SAGUSも自社のサイトをこの方法で確かめた。

1.1のファイルに入れ替える

配布ページの最新は1.1で、ダウンロードできる。1.1では、PHPなど実行できる拡張子を拒む一覧を足し、WordPressが用意するファイルの種類の確認と、ファイル名の無害化を通すようにした。

注意したいのは更新の通知だ。WordPress.orgのAPIもこのプラグインのバージョンを1.0.2と返している。WordPressの管理画面の更新の通知は、入っているバージョンとWordPress.orgが返すバージョンを比べて出る。どちらも1.0.2なので、通知が出ないことがある。通知を待たず、配布ページから1.1のzipを入れる。管理画面の「プラグインを追加」からzipをアップロードし、「現在のものをアップロードしたもので置き換える」を選ぶのがWordPressの標準の操作だ。入れた後は、readme.txtのStable tagが1.1に変わったことを確かめる。NVDの記載に、すぐ上げられない時の回避策は無い。

悪用は確認できていない

CVE-2026-125055は、11月13日の時点で、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の悪用を確認した脆弱性の一覧（KEV）に載っておらず、NVDの記載にも悪用の確認は無い。ただし、攻撃に要るのは、種類の制限の無い添付の欄を持つフォームが載った公開ページに届くことだけだ。当たるバージョンを動かしていたサイトは、入れ替えに加えて、アップロードのフォルダに見覚えのないPHPのファイルが無いかを見たい。このプラグインは添付をwp-content/uploadsの下の専用のフォルダ（cbforms_uploads）に置くので、まずそこを見る。見つかった時は、消す前にファイルの日時とアクセスのログを残し、いつ置かれたかを追えるようにしておく。

SAGUSでは当たらなかった

SAGUSは、本番のサイトとRolloutのサイトに、WordPressのログイン画面とこのプラグインのreadme.txtのパスを問い合わせ、どれも404だった。開発に使う端末の作業場所も、依存関係と設定のファイルをgrepでプラグインの名前の語で検索し、見つからなかった。端末にはPHPもWordPressの管理コマンドも入っていない。SAGUSはWordPressもこのプラグインも使っておらず、今回の脆弱性には当たらなかった。

編集部の見方

編集部は、この件の要点は欠陥の中身より、直したことが画面に出ない配り方にあると見る。拡張子の確認を足した1.1が配布されているのに、プラグインが名乗るバージョンは1.0.2のままで、管理画面の表示や更新の通知に頼る運用では、直したかどうかを確かめられない。逆に、NVDは1.0.2以前を当たるとしており、名乗るバージョンが1.0.2のままの1.1も、バージョンで判定するスキャナーには当たると出るおそれがある。小さなプラグインを入れているサイトは、バージョンの表示でなくファイルの中身で直ったことを確かめる工程を持ちたい。