WordPress の FluentCart に任意ファイル削除の欠陥（CVE-2026-120577）: CVSS 8.1、1.6.2 以前でログイン済みの利用者が wp-config.php を消せる

WordPress 用 EC プラグイン「FluentCart」に、ログイン済みで一定の権限を持つ利用者が、サーバー上の任意のファイルを削除できる欠陥（CVE-2026-120577）が公表されました。1.6.2 までのすべての版が対象です。種類は、ファイルパスの検証不足による任意ファイル削除（CWE-22）です。

何が起きるか

NVD の説明によると、仕組みは次のとおりです。

• ファイル削除を行う deleteFile 関数が、渡されたファイルパスを十分に検証していない。
• 「カスタム権限以上」のログイン済み利用者が、この関数を通じてサーバー上の任意のファイルを削除できる。
• wp-config.php のような重要ファイルを消されると、WordPress が初期設定の状態に戻り、サイトの乗っ取りやコード実行につながりうるとされています。

「カスタム権限」が具体的にどの役割を指すかは、NVD の記載だけでは分かりません（未確認）。

数値と severity

• CVSS v3.1 は 8.1（AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H）。評価元は Wordfence です。
• NVD の状態は Deferred（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• ログインが必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。
• FIRST の EPSS は 0.0061（2026-11-03 時点、上位およそ 49%）。CISA の KEV には載っていません（2026-11-04 時点）。

対策

• FluentCart を、1.6.2 より新しい版に更新する。修正版の番号は NVD に書かれておらず、確認できていません。WordPress.org のプラグイン管理画面で最新版を確認してください。
• FluentCart の管理画面や店舗管理の権限を持つ利用者を見直し、不要な権限を外す。
• 念のため、wp-config.php や .htaccess などの重要ファイルが残っているか、見覚えのない削除がなかったかを確認する。

未確認の点

• 実際に悪用されているか、規模はどの程度か。
• 修正版の番号と、修正でこの経路が完全にふさがれているか。
• 「カスタム権限」にあたる具体的な役割。
• wp-config.php の削除からコード実行に至る手順が、一般の環境で成立するか。
• NVD の最終評価、公開された悪用コードの有無。

出典

• NVD: CVE-2026-120577
• Wordfence の脆弱性情報（CNA）
• WordPress.org プラグイン Trac（FluentCart 1.6.2 のソースと変更履歴）
• FIRST EPSS