WordPress プラグイン JetFormBuilder 3.6.7.1 以前で、権限の誤った割り当てによる権限昇格（CVE-2026-119481）: CVSS v3.1 9.8、3.6.8 で修正

WordPress プラグイン JetFormBuilder（開発元 Crocoblock）の 3.6.7.1 までの版に、「権限の誤った割り当て（Incorrect Privilege Assignment）」による権限昇格の脆弱性（CVE-2026-119481）が見つかりました。NVD への登録は 2026-11-04 で、登録元は Patchstack です。NVD の状態は「Deferred」で、NVD 自身の分析は付いていません。

何が起きるか

• NVD の記述は「権限の誤った割り当てにより権限昇格が起こる」という短いものです。どの処理で、どのように権限が割り当てられるかの技術的な説明は、公開情報では確認できていません。
• Patchstack の脆弱性データベースのページでは、必要な権限が「認証なし（Unauthenticated）」と表示され、種類は「権限昇格」です。同ページには「低権限のユーザーが管理者になり、サイトを完全に乗っ取れる」という一般的な説明も載っています。ただしこれは種類ごとの定型文で、この件の具体的な攻撃手順ではありません。
• 以上から、ログインしていない人でも、条件がそろえば管理者権限を得られる恐れがあります。ただし、攻撃が成立する条件（フォームの設定や、特定の機能を使っていることなど）は未確認です。

数値と severity

• CVSS v3.1 は 9.8（CRITICAL）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。NVD ではなく登録元（Patchstack）が付けた評価です。
• 弱点の種類は CWE-266（権限の不適切な割り当て）とされています。
• 認証不要で CVSS が 9 以上のため、severity は critical とします。なお Patchstack 自身の優先度は「Medium」で、CVSS とは別の基準です。
• CISA の SSVC（意思決定の枠組み）では、悪用は「なし（none）」、自動化は「可能（yes）」、技術的影響は「全面（total）」とされています。
• EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

影響を受ける版と修正

• JetFormBuilder 3.6.7.1 以前のすべての版が影響を受けます。
• 3.6.8 で修正されています（NVD と Patchstack の記載）。
• 修正の具体的な内容は確認できていません。

対策

• JetFormBuilder を 3.6.8 以降に更新する。
• すぐに更新できない場合に考えられる対応（公式の指示ではありません）:
  • 使っていないなら、プラグインを無効化する。
  • 管理者アカウントの一覧に、身に覚えのないユーザーが増えていないか確認する。
  • 権限の変更や新規ユーザー作成のログがあれば見直す。
• Patchstack は、この件の性質上、同社の保護ルールは作れないとしています。更新が最も確実な対処です。

未確認の点

• 攻撃が成立する具体的な条件と手順。
• 悪用の有無と、攻撃コードの公開状況。
• 修正の具体的な内容と、更新できない場合の回避策。
• EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-119481
• Patchstack の脆弱性データベース（JetFormBuilder 3.6.7.1 の権限昇格）
• CISA の SSVC 評価（NVD の記載）