--- title: "WordPress の FluentCart に任意ファイル削除の欠陥（CVE-2026-120577）: CVSS 8.1、1.6.2 以前でログイン済みの利用者が wp-config.php を消せる" url: https://n-t-p.io/worldsecurity/articles/fluentcart-cve-2026-120577-authenticated-arbitrary-file-deletion-up-to-1-6-2 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-120577 --- # WordPress の FluentCart に任意ファイル削除の欠陥（CVE-2026-120577）: CVSS 8.1、1.6.2 以前でログイン済みの利用者が wp-config.php を消せる > **TL;DR:** WordPress 用 EC プラグイン FluentCart 1.6.2 以前で、ログイン済みでカスタム権限以上の利用者が任意のファイルを削除でき、wp-config.php を消されるとサイトの乗っ取りにつながりうる欠陥（CVE-2026-120577、CVSS v3.1 8.1）。ログインが必要で 9 未満のため high。KEV 未掲載、EPSS 0.0061。修正版の番号・悪用の有無は未確認。 **要点** - deleteFile 関数のパス検証不足で、カスタム権限以上のログイン済み利用者が任意のファイルを削除できる（CVE-2026-120577）。CVSS v3.1 は 8.1（PR:L、評価元 Wordfence）。 - wp-config.php を消されると、サイトの乗っ取りやコード実行につながりうるとされている。 - 対象は 1.6.2 までのすべての版。修正版の番号は未確認。 - EPSS は 0.0061、KEV には載っていない（2026-11-04 時点）。 - 悪用の有無・規模、修正の完全性、NVD の最終評価は未確認。 WordPress 用 EC プラグイン「FluentCart」に、ログイン済みで一定の権限を持つ利用者が、サーバー上の任意のファイルを削除できる欠陥（CVE-2026-120577）が公表されました。1.6.2 までのすべての版が対象です。種類は、ファイルパスの検証不足による任意ファイル削除（CWE-22）です。 ## 何が起きるか NVD の説明によると、仕組みは次のとおりです。 - ファイル削除を行う deleteFile 関数が、渡されたファイルパスを十分に検証していない。 - 「カスタム権限以上」のログイン済み利用者が、この関数を通じてサーバー上の任意のファイルを削除できる。 - wp-config.php のような重要ファイルを消されると、WordPress が初期設定の状態に戻り、サイトの乗っ取りやコード実行につながりうるとされています。 「カスタム権限」が具体的にどの役割を指すかは、NVD の記載だけでは分かりません（未確認）。 ## 数値と severity - CVSS v3.1 は 8.1（AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H）。評価元は Wordfence です。 - NVD の状態は Deferred（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - ログインが必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。 - FIRST の EPSS は 0.0061（2026-11-03 時点、上位およそ 49%）。CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - FluentCart を、1.6.2 より新しい版に更新する。修正版の番号は NVD に書かれておらず、確認できていません。WordPress.org のプラグイン管理画面で最新版を確認してください。 - FluentCart の管理画面や店舗管理の権限を持つ利用者を見直し、不要な権限を外す。 - 念のため、wp-config.php や .htaccess などの重要ファイルが残っているか、見覚えのない削除がなかったかを確認する。 ## 未確認の点 - 実際に悪用されているか、規模はどの程度か。 - 修正版の番号と、修正でこの経路が完全にふさがれているか。 - 「カスタム権限」にあたる具体的な役割。 - wp-config.php の削除からコード実行に至る手順が、一般の環境で成立するか。 - NVD の最終評価、公開された悪用コードの有無。 ## 出典 - NVD: CVE-2026-120577 - Wordfence の脆弱性情報（CNA） - WordPress.org プラグイン Trac（FluentCart 1.6.2 のソースと変更履歴） - FIRST EPSS ## 出典 - [NVD CVE-2026-120577](https://nvd.nist.gov/vuln/detail/CVE-2026-120577) — NIST NVD - [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/f20ead74-6db0-4bd2-82f6-0eb792288d70) — Wordfence - [WordPress.org Trac: FluentCart 1.6.2 FileUploadController](https://plugins.trac.wordpress.org/browser/fluent-cart/tags/1.6.2/app/Http/Controllers/FileUploadController.php#L141) — WordPress.org - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120577) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/fluentcart-cve-2026-120577-authenticated-arbitrary-file-deletion-up-to-1-6-2