CVE-2026-15962

30秒で判断

• 対応すべき人: WordPress サイトで Fluent Forms Pro Add On Pack 6.2.6 以下を利用し、ユーザ更新連携（ユーザメタフィールドのマッピング）を有効化している運用者
• 対応不要な人: 本プラグインを使用していない方、ユーザ更新連携を利用しておらずユーザメタフィールドをマップしていない方、すでに 6.2.6 より新しいバージョンへ更新済みの方
• 確認方法: WordPress 管理画面のプラグイン一覧でバージョンを確認し、あわせてフォーム側のユーザ更新連携設定を確認します

概要

Fluent Forms Pro Add On Pack はフォーム作成プラグイン Fluent Forms の拡張パックです。バージョン 6.2.6 以下では、信頼できない入力のデシリアライズ処理に不備があり、PHPオブジェクトインジェクションが可能となる脆弱性が報告されています。

Subscriber 以上の権限を持つ認証済み利用者が、細工した入力を通じて PHP オブジェクトを注入できます。環境内に悪用可能な POP チェーン（連鎖するマジックメソッド）が存在する場合、利用者のパスワード変更や、最終的には管理者アカウントの奪取につながる可能性があります。

ただし本脆弱性の悪用には、ユーザ更新連携が有効であり、かつユーザメタフィールドがマップされている構成であることが前提となります。この条件に該当しないサイトでは悪用は成立しません。認証済みかつ低権限（Subscriber）から到達しうる点で、会員登録機能を持つサイトでは特に注意が必要です。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 対策: 6.2.6 より新しいバージョンへアップデートしてください。直ちに更新できない場合は、ユーザ更新連携を無効化する、またはユーザメタフィールドのマッピングを外すことで悪用条件を回避できます。

関連リンク

• NVD
• Fluent Forms 公式サイト
• Wordfence Threat Intelligence

データソース: NVD (NIST), Wordfence AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。