WordPress の Contact Form Extender for Divi Builder に認証なしの任意ファイル削除の欠陥（CVE-2026-120559）: CVSS 7.5、1.0.6 以前で wp-config.php を消されサイト乗っ取りにつながる恐れ

WordPress 用プラグイン「Contact Form Extender for Divi Builder」に、ログインしていない訪問者がサーバー上の任意のファイルを削除できる欠陥（CVE-2026-120559）が公表されました。1.0.6 までのすべての版が対象で、1.0.7 で修正されています。種類は、ファイルパスの検証不足による任意ファイル削除（CWE-22 系）です。

何が起きるか

NVD の説明によると、仕組みは次のとおりです。

• 削除を行う cfefd_remove_uploaded_file() 関数が、渡されたファイルパスを十分に検証していない。
• この処理を守る nonce（使い捨ての確認値）が、wp_localize_script によって公開ページの HTML に埋め込まれる。そのため、ログインしていない訪問者でも取り出せる。
• 結果として、認証なしで任意のファイルを消せる。wp-config.php のような重要ファイルを消すと、WordPress が初期設定の状態に戻り、サイトの乗っ取りやコード実行につながりうるとされています。

数値と severity

• CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）。評価元は Wordfence です。
• NVD の状態は Deferred（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証は不要ですが、CVSS が 9 に届かないため、severity は high とします。
• FIRST の EPSS は 0.0067（2026-11-03 時点、上位およそ 48%）。CISA の KEV には載っていません（2026-11-04 時点）。

対策

• プラグインを 1.0.7 以上に更新する。WordPress.org の公開ページでは、最新版は 1.1.5 と表示されている。
• 使っていない場合は、プラグインを無効化して削除する。
• 念のため、wp-config.php や .htaccess などの重要ファイルが残っているか、見覚えのない削除がなかったかを確認する。

未確認の点

• 実際に悪用されているか、規模はどの程度か。
• 修正版 1.0.7 で、この経路が完全にふさがれているか。
• 1.0.6 までの版のうち、実際に欠陥を含む範囲の下限（NVD の記載は「1.0.6 まで」）。
• 実際に wp-config.php を消してコード実行に至る手順が、一般の環境で成立するか。
• NVD の最終評価、公開された悪用コードの有無。

出典

• NVD: CVE-2026-120559
• Wordfence の脆弱性情報（CNA）
• WordPress.org プラグイン Trac（1.0.6 と 1.0.7 の差分）