---
title: "WordPress「SimpleForm」3.10.2 以前に認証不要の任意ファイルアップロード（CVE-2026-118235）: CVSS 9.8（Wordfence）、修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/simpleform-form-maker-arbitrary-file-upload-trailing-dot-unauthenticated-up-to-3-10-2-cve-2026-118235
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 緊急
cve: CVE-2026-118235
---

# WordPress「SimpleForm」3.10.2 以前に認証不要の任意ファイルアップロード（CVE-2026-118235）: CVSS 9.8（Wordfence）、修正版は未確認

> **TL;DR:** WordPress 向けプラグイン SimpleForm（Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications）の 3.10.2 までの全版で、handle_upload の検証不備（末尾ドットのファイル名で拡張子・MIME の検証を回避）により、認証なしで実行可能なファイルをアップロードでき、コード実行につながる可能性があると説明されている（CVE-2026-118235、CWE-434）。CVSS v3.1 は 9.8（Wordfence が付与、NVD 自身の評価は未実施）。EPSS は 0.74%、KEV なし、悪用の報告は未確認。修正版の番号は未確認。

**要点**
- SimpleForm 3.10.2 までの全版：handle_upload の検証不備により、認証不要で任意ファイルをアップロードでき、コード実行につながる可能性があると説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 9.8（Wordfence の値）。NVD の状態は Received。EPSS は 0.74%（パーセンタイル 54.6%）、KEV なし、実際の悪用の報告は未確認
- 末尾にドットを付けたファイル名で拡張子・MIME の検証を回避でき、nonce は公開フォームのページに出力されるため未認証でも入手できるとの記載（CNA の説明）
- 参照先に trunk の変更履歴（changeset 3770697）があるが、修正版の番号は未確認。更新履歴で確認し、確認できるまでは一時的な無効化も検討する
- アップロードしたファイルが実行される条件、ほかの経路、悪用の有無は未確認

NVD は 2026-10-31（09:16 UTC）に、WordPress 向けプラグイン「SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications」の CVE-2026-118235 を登録しました。説明によれば、**3.10.2 までのすべての版**で、`handle_upload` 関数に任意ファイルアップロード（CWE-434）の欠陥があり、**認証なしの攻撃者が実行可能なファイルをアップロードして、リモートからコードを実行できる可能性**があるとされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

## 何が起きるか（CNA の説明）

- サーバー側で許可するファイルキーの一覧（allowlist）がなく、サニタイズの前に拡張子を取り出す実装のため、**末尾にドットを付けたファイル名**で、拡張子と MIME タイプの検証をすべて回避できるとされています。
- 唯一のアクセス制御は nonce（使い捨ての確認値）です。この nonce はフォームのショートコードを埋め込んだ公開ページの `data-nonce` 属性にそのまま出力されるため、未認証の訪問者でも容易に入手できる、と説明されています。
- CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、**Wordfence（CNA）が付与した値**です。NVD 自身の評価はまだありません。
- 参照先に、3.10.2 のソースコード上の該当箇所（`FileUpload.php`、`Ajax/Tables.php`）と、trunk の `FileUpload.php` の変更履歴（changeset 3770697）が載っています。当サイトでは中身を開いていません。
- 実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | SimpleForm 3.10.2 までのすべての版（CNA の記載） |
| 前提 | フォームのショートコードを埋め込んだ公開ページがあること（nonce の入手経路としての説明）。アップロードしたファイルがサーバー上で実行される条件は、説明からは読み取れず未確認 |
| CVSS | v3.1 は 9.8（Critical）。Wordfence（CNA）の値 |
| 状態 | NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施） |
| EPSS | 0.74%（パーセンタイル 54.6%、2026-10-31 時点、FIRST） |
| 修正 | 参照先に trunk の変更履歴はあるが、修正版の番号は NVD に見当たらない |

## 対応として考えられること（本記事の推定）

1. サイトに SimpleForm が入っているか、版が 3.10.2 以下かを、管理画面の「プラグイン」で確認します。
2. プラグインの更新が出ていれば適用します。どの版が修正版かは、本記事では確認できていません。更新履歴や配布元の案内で確かめてください。
3. 修正を確認できるまでは、プラグインの一時的な無効化、またはフォームを埋め込んだページの非公開化を検討します。フォームの停止による業務への影響と比べて判断します。
4. アップロード先のディレクトリに、見覚えのない実行可能なファイル（例: `.php`）がないか確認します。末尾ドットの名前で保存された場合の実際のファイル名は、説明からは分からず、未確認です。
5. アクセスログで、プラグインのアップロード用の Ajax リクエストが不自然に多くないか確認します。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 修正版の番号と、修正の中身は確認していません。
- 攻撃の再現はしていません。アップロードしたファイルが実際に実行される条件（Web サーバーの設定など）は、説明からは読み取れず、未確認です。
- 悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
- CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証不要・ネットワーク経由でコード実行につながる可能性がある点から critical にしました。
- 当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
- 日付は NVD の登録（2026-10-31 09:16 UTC）に基づきます。


## 出典
- [NVD CVE-2026-118235](https://nvd.nist.gov/vuln/detail/CVE-2026-118235) — NIST NVD
- [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/6aac2178-f6ce-4444-9afc-7e014547cd48) — Wordfence
- [FIRST EPSS CVE-2026-118235](https://api.first.org/data/v1/epss?cve=CVE-2026-118235) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/simpleform-form-maker-arbitrary-file-upload-trailing-dot-unauthenticated-up-to-3-10-2-cve-2026-118235