--- title: "WordPress の Contact Form Extender for Divi Builder に認証なしの任意ファイル削除の欠陥（CVE-2026-120559）: CVSS 7.5、1.0.6 以前で wp-config.php を消されサイト乗っ取りにつながる恐れ" url: https://n-t-p.io/worldsecurity/articles/contact-form-extender-for-divi-cve-2026-120559-unauth-file-deletion-before-1-0-7 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-120559 --- # WordPress の Contact Form Extender for Divi Builder に認証なしの任意ファイル削除の欠陥（CVE-2026-120559）: CVSS 7.5、1.0.6 以前で wp-config.php を消されサイト乗っ取りにつながる恐れ > **TL;DR:** WordPress 用プラグイン Contact Form Extender for Divi Builder 1.0.6 以前で、ログインしていない訪問者が任意のファイルを削除でき、wp-config.php を消されるとサイトの乗っ取りにつながりうる欠陥（CVE-2026-120559、CVSS v3.1 7.5）。認証不要だが 9 未満のため high。KEV 未掲載、EPSS 0.0067。修正版は 1.0.7。悪用の有無は未確認。 **要点** - 削除処理の nonce が公開ページの HTML に出ているため、認証なしで任意のファイルを削除できる（CVE-2026-120559）。CVSS v3.1 は 7.5（PR:N、評価元 Wordfence）。 - wp-config.php を消されると、サイトの乗っ取りやコード実行につながりうるとされている。 - 対象は 1.0.6 までのすべての版。修正版は 1.0.7。 - EPSS は 0.0067、KEV には載っていない（2026-11-04 時点）。 - 悪用の有無・規模、修正の完全性、NVD の最終評価は未確認。 WordPress 用プラグイン「Contact Form Extender for Divi Builder」に、ログインしていない訪問者がサーバー上の任意のファイルを削除できる欠陥（CVE-2026-120559）が公表されました。1.0.6 までのすべての版が対象で、1.0.7 で修正されています。種類は、ファイルパスの検証不足による任意ファイル削除（CWE-22 系）です。 ## 何が起きるか NVD の説明によると、仕組みは次のとおりです。 - 削除を行う cfefd_remove_uploaded_file() 関数が、渡されたファイルパスを十分に検証していない。 - この処理を守る nonce（使い捨ての確認値）が、wp_localize_script によって公開ページの HTML に埋め込まれる。そのため、ログインしていない訪問者でも取り出せる。 - 結果として、認証なしで任意のファイルを消せる。wp-config.php のような重要ファイルを消すと、WordPress が初期設定の状態に戻り、サイトの乗っ取りやコード実行につながりうるとされています。 ## 数値と severity - CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）。評価元は Wordfence です。 - NVD の状態は Deferred（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証は不要ですが、CVSS が 9 に届かないため、severity は high とします。 - FIRST の EPSS は 0.0067（2026-11-03 時点、上位およそ 48%）。CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - プラグインを 1.0.7 以上に更新する。WordPress.org の公開ページでは、最新版は 1.1.5 と表示されている。 - 使っていない場合は、プラグインを無効化して削除する。 - 念のため、wp-config.php や .htaccess などの重要ファイルが残っているか、見覚えのない削除がなかったかを確認する。 ## 未確認の点 - 実際に悪用されているか、規模はどの程度か。 - 修正版 1.0.7 で、この経路が完全にふさがれているか。 - 1.0.6 までの版のうち、実際に欠陥を含む範囲の下限（NVD の記載は「1.0.6 まで」）。 - 実際に wp-config.php を消してコード実行に至る手順が、一般の環境で成立するか。 - NVD の最終評価、公開された悪用コードの有無。 ## 出典 - NVD: CVE-2026-120559 - Wordfence の脆弱性情報（CNA） - WordPress.org プラグイン Trac（1.0.6 と 1.0.7 の差分） ## 出典 - [NVD CVE-2026-120559](https://nvd.nist.gov/vuln/detail/CVE-2026-120559) — NIST NVD - [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/) — Wordfence - [WordPress.org Trac: 1.0.6 と 1.0.7 の差分](https://plugins.trac.wordpress.org/changeset?old_path=contact-form-extender-for-divi-builder%2Ftags%2F1.0.6&new_path=contact-form-extender-for-divi-builder%2Ftags%2F1.0.7) — WordPress.org - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120559) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/contact-form-extender-for-divi-cve-2026-120559-unauth-file-deletion-before-1-0-7