---
title: "BuddyBoss App（WordPress）3.2.1 以前で、購読者権限から実行可能ファイルをアップロードできるおそれ（CVE-2026-76124）: CVSS v3.1 8.8、悪用の有無は未確認"
url: https://n-t-p.io/worldsecurity/articles/buddyboss-app-send-feedback-arbitrary-file-upload-cve-2026-76124
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-76124
---

# BuddyBoss App（WordPress）3.2.1 以前で、購読者権限から実行可能ファイルをアップロードできるおそれ（CVE-2026-76124）: CVSS v3.1 8.8、悪用の有無は未確認

> **TL;DR:** BuddyBoss App（WordPress）3.2.1 以前で、send_feedback がファイルの種類を Content-Type ヘッダーだけで判断するため、購読者権限以上のログイン済み利用者が実行可能ファイルをアップロードでき、リモートコード実行につながるおそれ（CVE-2026-76124、CWE-434、CVSS v3.1 8.8）。悪用の有無は未確認。KEV 未掲載、EPSS データなし。

**要点**
- BuddyBoss App 3.2.1 以前に、購読者権限から実行可能ファイルをアップロードできるおそれ（CVE-2026-76124）。
- CVSS v3.1 は 8.8。ログインが必要で、競合状態の間はファイルにアクセスでき、メール送信失敗時はファイルが残る。NVD の状態は Deferred。
- 3.2.2 以降へ更新し、uploads 配下に不審なファイルがないか確認する。
- 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。

BuddyBoss App（WordPress 用のモバイルアプリ連携プラグイン）3.2.1 以前について、フィードバック送信機能 send_feedback から任意のファイルをアップロードできる問題として、CVE-2026-76124 が 2026-11-03 に NVD に登録されました。登録元は Wordfence です。

## 何が起きるか
- NVD の記載によると、アップロードされるファイルの種類を、送信側が付ける Content-Type ヘッダーだけで判断しています。サーバー側での中身の確認や拡張子の確認がありません。
- 購読者（subscriber）以上の権限でログインできる人が、実行可能なファイルをアップロードでき、リモートコード実行につながるおそれがあります。
- アップロードされたファイルはメール送信後に削除されますが、SMTP の実行中に競合状態（race condition）が起き、その間はファイルにアクセスできるとされています。wp_mail() が失敗した場合は、ファイルが残り続けます。
- 弱点の分類は CWE-434（危険な種類のファイルの無制限アップロード）です。対象は 3.2.1 以前のすべての版です。

## 数値と severity
- CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です（評価元は Wordfence）。
- 購読者権限のログインが必要で、認証不要ではありません。そのため critical にはせず、severity は high とします。
- NVD の状態は「Deferred」で、NVD 自身の評価はありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

## 対策
- BuddyBoss App を使っている場合は、3.2.2 以降へ更新する。ベンダーのリリースノートに 3.2.2 の記載があります（本稿では中身を確認していません）。
- 更新できないうちは、一般ユーザーの登録を受け付けないか、承認制にして、購読者権限のアカウントを増やさない。
- wp-content/uploads 配下に、見覚えのない PHP などの実行可能ファイルがないか確認する。

## 未確認の点
- 3.2.2 で実際にどう直されたか、修正が完全か。
- 悪用の有無、攻撃コードの流通。
- 競合状態を突いて実行まで至る難しさ（成功の条件）。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-76124
- BuddyBoss のリリースノート 3.2.2（NVD の参照先。未開封）
- Wordfence の脆弱性情報（NVD の参照先。未開封）
- FIRST EPSS（データなし）、CISA KEV（掲載なし）


## 出典
- [NVD CVE-2026-76124](https://nvd.nist.gov/vuln/detail/CVE-2026-76124) — NIST NVD
- [BuddyBoss App 3.2.2 リリースノート（未開封）](https://buddyboss.com/resources/buddyboss-app-plugin-releases/3-2-2/) — BuddyBoss
- [Wordfence 脆弱性情報（未開封）](https://www.wordfence.com/threat-intel/vulnerabilities/id/56a1219c-1163-4867-b426-7ffe9ca5dcb5) — Wordfence

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/buddyboss-app-send-feedback-arbitrary-file-upload-cve-2026-76124