Ninja Formsのファイル送信機能に削除の脆弱性　3.3.37へ上げる

WordPress向けのセキュリティ製品を作る米Wordfenceは11月11日付で、フォーム作成プラグイン「Ninja Forms」の追加機能「File Uploads」の脆弱性の公告を出した。米国立標準技術研究所（NIST）の脆弱性データベース「NVD」も、同日の22時17分（日本時間）にこの脆弱性の記録を載せた。認証なしで、サーバー上の任意のファイルを消され得る。3.3.37以降へ上げる必要がある。

3.3.36以前の版が当たる

公告とNVDの記録によると、対象と修正版は次のとおりだ。

• 対象: Ninja Formsの追加機能「File Uploads」（スラッグはninja-forms-uploads）の3.3.36以前の全版
• 修正版: 3.3.37
• CVE番号: CVE-2026-126537
• 深刻度: CVSS 3.1で9.1（Wordfenceの評価）。認証も利用者の操作も要らない
• 弱点の種類: CWE-22（パスの検証の不備）

NVDの説明によると、フォームから送られたファイルの置き場所の値を、プラグインが確かめずに使っていた。WordPressの設定ファイルを消されると、サイトは初期設定の画面に戻り、乗っ取りにつながり得るという。問題の処理は、送られたファイルをAmazon S3、Dropbox、Google Driveへ送る連携の部分にあり、NVDはサーバー上のファイルを外部へ持ち出され得るとも書く。連携を使っていないサイトが当たらないかは、公告からは確認できなかった。NVDは11月11日の時点で独自の評価を付けておらず、9.1はWordfenceが付けた評価だ。公告によると、見つけたのは研究者のdaroo氏だ。

追加機能の版を確かめる

File Uploadsは、Ninja Forms本体とは別に買って入れる有料の追加機能だ。公告の対象はこの追加機能だけで、本体のNinja Formsは対象に挙がっていない。本体だけを入れているサイトは、一覧に追加機能が無いことを確かめれば足りる。WordPressの管理画面の「プラグイン」の一覧で、Ninja Forms - File Uploadsの版を見る。WP-CLIを使っているなら、一般的なコマンド「wp plugin list」でも一覧に出る。版が3.3.36以前なら当たる。本番だけでなく検証用のサイトも見たい。ファイルを送る項目を置いたフォームが無ければ当たらない、とは公告に書かれていない。入れたまま使っていない追加機能なら、無効にして消すのも一つの手だ。制作会社にサイトの運用を任せている場合は、この追加機能を入れているか、版がいくつかを先方に問い合わせる。

開発元の販売ページによると、ライセンスは1年ごとだ。解約しても追加機能は使い続けられるが更新は届かなくなる。管理画面に更新の案内が出ていなくても、ライセンスが切れていないかを確かめたい。

当たる版を使っていたサイトは、版を上げるだけで終わらせず、WordPressの設定ファイルや送られたファイルの置き場所が残っているか、ファイルの写しがあるかも確かめたい。これは公告の求めではなく、入られ得た期間があった場合の一般的な確認だ。

3.3.37へ上げる

公告は、3.3.37かそれより新しい版へ上げるよう勧めている。公告に、上げられない場合の回避策は書かれていない。開発元の更新の記録によると、3.3.37は11月2日に出た。送られたファイルの扱いを固めたほか、保存したファイルをフォームと項目に結び付けて、外部の保存先へのリンクにファイルごとの鍵を付けたという。この追加機能は10月5日から11月2日までに、3.3.35、3.3.36、3.3.37と3回更新されている。3.3.37へ上げれば、Wordfenceが10月1日に公告した、認証なしで任意のファイルを置かれ得る脆弱性（CVE-2026-92820、3.3.34以前）の対象の版からも外れる。

販売ページによると、3.3.37を動かすには、WordPressの5.0以降、Ninja Forms本体の3.6以降、PHPの7.4以降が要る。古い環境のまま更新が止まっているサイトは、本体やPHPを先に上げる必要があるかを確かめたい。更新の前には、ファイルとデータベースの写しを取っておく。

悪用の報告はまだ無い

CVE-2026-126537は、11月11日の時点で、米サイバーセキュリティ・社会基盤安全保障庁（CISA）の悪用を確認した脆弱性の一覧（KEV）に載っていない。悪用の報告も公告には無い。一方で、原因の仕組みはNVDの説明で誰でも読める。

SAGUSでは当たらなかった

SAGUSは、開発に使う端末の作業場所を、Ninja Formsの語とWordPressの設定ファイルの名前で検索した。どちらも見つからなかった。本番のサイトでも、この追加機能の置き場所とWordPressのログイン画面のURLを開き、どちらも存在しないことを確かめた。このため、今回の脆弱性には当たらなかった。

編集部の見方

編集部は、File Uploadsを使うサイトは、今日中に版とライセンスの期限を確かめ、3.3.36以前なら上げるべきだと考える。Wordfenceの公告の一覧では、この追加機能の脆弱性は2026年に入って今回で7件目、7月以降に限っても5件目になる。有料の追加機能は、ライセンスが切れると更新が止まり、管理画面でも気付きにくい。更新の契約まで含めて、版を確かめる手順を持っておきたい。