WordPress プラグイン Acadlix LMS 1.1.9 以前で、任意ファイル削除（CVE-2026-103882）: 公開ページの nonce で実質認証なし、wp-config.php 削除で RCE に至りうる、1.2.0 に更新を

WordPress 用プラグイン「Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin」（配布名 acadlix）の 1.1.9 以前に、サーバー上の任意のファイルを削除できる脆弱性（CVE-2026-103882）が公表され、10/31 に NVD へ登録されました。CVSS v3.1 は 9.1（Critical）で、この値を付けたのは CNA の Wordfence です（NVD 自身の評価は未実施で、状態は「Received」）。配布元の changelog に、10/23 公開の 1.2.0 で「セキュリティ問題を修正」とあります。 ただし、この記載が本件を指すと明言はされていないため、対応は推定です。

何が起きるか

• CNA の説明によると、関数 post_delete_assessment_file_by_id のファイルパス検証が不十分で、任意のファイルを削除できます。
• 当該ルートの権限確認は、汎用の wp_rest nonce の検証だけです。この nonce はプラグイン自身が、すべてのフロントエンドページに出力する JavaScript オブジェクト acadlixOptions に含めています。このため、CNA は「購読者以上のログインが必要」とされる要件が、実質的には認証なしに下がっていると説明しています（CVSS の PR は None）。
• 削除するファイルによっては、リモートコード実行に容易につながりうるとされます。例として挙げられているのは wp-config.php の削除です。
• 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（2026.10.30 版・1766 件で確認）。

影響を受ける条件と評価

項目	内容
対象	Acadlix LMS プラグイン 1.1.9 以前（CNA の記載は「1.1.9 までのすべての版」）。下限の版は記載なし
前提	プラグインが有効で、フロントエンドのページと REST API に外部から到達できること
CVSS	v3.1 は 9.1（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）。付与したのは Wordfence（CNA、NVD の種別は Primary 表示）。NVD 自身の評価は未実施
状態	NVD の状態は「Received」（10/31 登録）。NVD の影響版の構成情報は未登録
弱点の分類	CWE-22（パス・トラバーサル）
EPSS	0.79%（パーセンタイル 56.2%、10/31 時点、FIRST）
修正	1.2.0（10/23 公開）。changelog の「A security issue」の項目が該当すると見られる（推定）

修正の状況

• WordPress.org のプラグイン情報では、現在の最新版は 1.2.0（最終更新 10/23）です。changelog の 1.2.0 の項に、「Fixed: A security issue」（セキュリティ問題の修正）との記載があります。内容の詳細は書かれていません。
• 1.1.9（10/6 公開）と 1.1.8（9/23 公開）の changelog には、セキュリティに関する記載はありません。
• CNA が参照するコードは 1.1.8 のものです。修正の差分は、当サイトでは確認できていません。

対応として考えられること（本記事の推定）

1. WordPress の管理画面で、Acadlix LMS プラグインの版を確認します。1.1.9 以前なら、すぐに 1.2.0 以降へ更新します。
2. 更新できない間は、プラグインを無効化することで、問題のルートへの到達を止められると考えられます（この対処の効果は当サイトでは検証していません）。
3. 更新前に、サイトのファイルとデータベースのバックアップを取ります。あわせて、wp-config.php など重要なファイルが残っているか、WordPress の REST API（/wp-json/ 配下）に不審なリクエストがないかを確認するという点検も考えられます（ログの形式は構成によります）。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• 1.2.0 の変更が本件を指すこと、修正の中身、影響版の下限は確認できていません。
• 本記事の severity 欄は、実質認証なし・ネットワーク経由・操作不要でファイルを削除でき、コード実行に至りうるとされる点を踏まえ critical にしました。CVSS 9.1 は CNA の値で、NVD 自身の評価は未実施です。なお、機密性への影響（C）は None とされています。
• 当サイトでは、ファイル削除を再現していません。ソースコードの確認も行っておらず、記載は CNA の説明と配布元の changelog に基づきます。
• 日付は、NVD の登録（2026-10-31 09:16 UTC）と配布元の changelog の日付に基づきます。