30秒で判断
- 対応すべき人: WordPressプラグイン「Extensions For CF7（Contact form 7 Database, Conditional Fields and Redirection）」3.4.5以前を使用している方
- 対応不要な人: 当該プラグインを使用していない方
- 確認コマンド: WordPress管理画面のプラグイン一覧で「Extensions For CF7」のバージョンを確認
概要
CVE-2026-94589 は、WordPressプラグイン「Extensions For CF7」の3.4.5以前に存在する任意ファイルアップロードの脆弱性です。
署名フィールドの検証処理（validation_filter()）でファイル拡張子・MIMEタイプ・サイズのチェックが欠落しているほか、アップロードディレクトリでPHP実行を防ぐ保護もありません。さらに、ファイル名をサニタイズするsanitize_file_name()処理にも、shell.php-のような名前をshell.phpへ変換させてしまう回避方法があります。これらを組み合わせることで、未認証の攻撃者が実行可能なファイルをアップロードし、リモートコード実行に至る可能性があります。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 認証 | 不要（未認証で実行可能） |
| 前提 | extcf7_submit機能（署名フィールド）が有効であること |
| 影響 | リモートコード実行 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| Extensions For CF7（WordPressプラグイン） | 3.4.5以前 |
修正バージョンと回避策
- プラグイン提供元の更新情報を確認し、3.4.5より新しいバージョンへアップデートしてください。
- アップデートまでの間は、署名フィールド機能を無効化するか、アップロードディレクトリでのPHP実行を禁止する設定（
.htaccessやWebサーバー設定）を検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。