WordPress「SimpleForm」3.10.2 以前に認証不要の任意ファイルアップロード（CVE-2026-118235）: CVSS 9.8（Wordfence）、修正版は未確認

NVD は 2026-10-31（09:16 UTC）に、WordPress 向けプラグイン「SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications」の CVE-2026-118235 を登録しました。説明によれば、3.10.2 までのすべての版で、handle_upload 関数に任意ファイルアップロード（CWE-434）の欠陥があり、認証なしの攻撃者が実行可能なファイルをアップロードして、リモートからコードを実行できる可能性があるとされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

何が起きるか（CNA の説明）

• サーバー側で許可するファイルキーの一覧（allowlist）がなく、サニタイズの前に拡張子を取り出す実装のため、末尾にドットを付けたファイル名で、拡張子と MIME タイプの検証をすべて回避できるとされています。
• 唯一のアクセス制御は nonce（使い捨ての確認値）です。この nonce はフォームのショートコードを埋め込んだ公開ページの data-nonce 属性にそのまま出力されるため、未認証の訪問者でも容易に入手できる、と説明されています。
• CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、Wordfence（CNA）が付与した値です。NVD 自身の評価はまだありません。
• 参照先に、3.10.2 のソースコード上の該当箇所（FileUpload.php、Ajax/Tables.php）と、trunk の FileUpload.php の変更履歴（changeset 3770697）が載っています。当サイトでは中身を開いていません。
• 実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

影響を受ける条件と評価

項目	内容
対象	SimpleForm 3.10.2 までのすべての版（CNA の記載）
前提	フォームのショートコードを埋め込んだ公開ページがあること（nonce の入手経路としての説明）。アップロードしたファイルがサーバー上で実行される条件は、説明からは読み取れず未確認
CVSS	v3.1 は 9.8（Critical）。Wordfence（CNA）の値
状態	NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施）
EPSS	0.74%（パーセンタイル 54.6%、2026-10-31 時点、FIRST）
修正	参照先に trunk の変更履歴はあるが、修正版の番号は NVD に見当たらない

対応として考えられること（本記事の推定）

1. サイトに SimpleForm が入っているか、版が 3.10.2 以下かを、管理画面の「プラグイン」で確認します。
2. プラグインの更新が出ていれば適用します。どの版が修正版かは、本記事では確認できていません。更新履歴や配布元の案内で確かめてください。
3. 修正を確認できるまでは、プラグインの一時的な無効化、またはフォームを埋め込んだページの非公開化を検討します。フォームの停止による業務への影響と比べて判断します。
4. アップロード先のディレクトリに、見覚えのない実行可能なファイル（例: .php）がないか確認します。末尾ドットの名前で保存された場合の実際のファイル名は、説明からは分からず、未確認です。
5. アクセスログで、プラグインのアップロード用の Ajax リクエストが不自然に多くないか確認します。具体的な攻撃の指標は公開されておらず、未確認です。

未確認の点

• 修正版の番号と、修正の中身は確認していません。
• 攻撃の再現はしていません。アップロードしたファイルが実際に実行される条件（Web サーバーの設定など）は、説明からは読み取れず、未確認です。
• 悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
• CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証不要・ネットワーク経由でコード実行につながる可能性がある点から critical にしました。
• 当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
• 日付は NVD の登録（2026-10-31 09:16 UTC）に基づきます。