脆弱性の概要

• プラグイン/テーマ名: Forminator Forms – Contact Form, Payment Form & Custom Form Builder
• 影響バージョン: 1.44.2 以下
• 脆弱性タイプ: Unauthenticated Arbitrary File Deletion Triggered via Administrator Form Submission Deletion
• CVE ID: CVE-2025-6463
• 重大度: 高
• 公式ページURL: https://wordpress.org/plugins/forminator/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Forminator Forms」における深刻な脆弱性についてです。

この脆弱性は、管理者がフォームを削除する際に、認証されていない攻撃者が任意のファイルを削除できるというものです。

具体的には、攻撃者が特定のリクエストを送信することで、サーバー上の重要なファイルが削除される可能性があります。

この脆弱性が悪用されると、ウェブサイトの機能が停止したり、データが失われたりするリスクがあります。

影響を受けるバージョンは1.44.2以下であり、ユーザーは早急に対策を講じる必要があります。

脆弱性の背景

この脆弱性は、フォーム管理機能におけるアクセス制御の不備から発生しました。

WordPressプラグインは多くのウェブサイトで利用されており、そのセキュリティは非常に重要です。

過去にも同様の脆弱性が他のプラグインで発見されており、開発者は常にセキュリティの強化に努めています。

このような脆弱性が発生する背景には、複雑なコードベースや多様な機能が影響していると考えられます。

対策方法と影響

この脆弱性に対する最も効果的な対策は、プラグインを最新バージョンである1.44.3にアップデートすることです。

アップデートを行うことで、脆弱性が修正され、攻撃のリスクを大幅に低減できます。

もしアップデートを行わない場合、攻撃者によって重要なファイルが削除され、ウェブサイトの運営に重大な影響を及ぼす可能性があります。

したがって、早急な対応が求められます。

専門用語の解説

• CVSS: 共通脆弱性評価システムの略で、脆弱性の深刻度を評価するための基準です。
• CVE: 共通脆弱性識別子の略で、特定の脆弱性に対して一意に割り当てられる識別番号です。
• Unauthenticated: 認証されていない状態を指し、通常はログインが必要な操作がログインなしで行えることを意味します。
• Arbitrary File Deletion: 任意のファイル削除を指し、攻撃者が指定したファイルを削除できる脆弱性です。

情報元