BuddyBoss App（WordPress）3.2.1 以前で、購読者権限から実行可能ファイルをアップロードできるおそれ（CVE-2026-76124）: CVSS v3.1 8.8、悪用の有無は未確認

BuddyBoss App（WordPress 用のモバイルアプリ連携プラグイン）3.2.1 以前について、フィードバック送信機能 send_feedback から任意のファイルをアップロードできる問題として、CVE-2026-76124 が 2026-11-03 に NVD に登録されました。登録元は Wordfence です。

何が起きるか

• NVD の記載によると、アップロードされるファイルの種類を、送信側が付ける Content-Type ヘッダーだけで判断しています。サーバー側での中身の確認や拡張子の確認がありません。
• 購読者（subscriber）以上の権限でログインできる人が、実行可能なファイルをアップロードでき、リモートコード実行につながるおそれがあります。
• アップロードされたファイルはメール送信後に削除されますが、SMTP の実行中に競合状態（race condition）が起き、その間はファイルにアクセスできるとされています。wp_mail() が失敗した場合は、ファイルが残り続けます。
• 弱点の分類は CWE-434（危険な種類のファイルの無制限アップロード）です。対象は 3.2.1 以前のすべての版です。

数値と severity

• CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です（評価元は Wordfence）。
• 購読者権限のログインが必要で、認証不要ではありません。そのため critical にはせず、severity は high とします。
• NVD の状態は「Deferred」で、NVD 自身の評価はありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• BuddyBoss App を使っている場合は、3.2.2 以降へ更新する。ベンダーのリリースノートに 3.2.2 の記載があります（本稿では中身を確認していません）。
• 更新できないうちは、一般ユーザーの登録を受け付けないか、承認制にして、購読者権限のアカウントを増やさない。
• wp-content/uploads 配下に、見覚えのない PHP などの実行可能ファイルがないか確認する。

未確認の点

• 3.2.2 で実際にどう直されたか、修正が完全か。
• 悪用の有無、攻撃コードの流通。
• 競合状態を突いて実行まで至る難しさ（成功の条件）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-76124
• BuddyBoss のリリースノート 3.2.2（NVD の参照先。未開封）
• Wordfence の脆弱性情報（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）