検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

WordPress プラグイン BuddyPress XProfile Image Field の CVE-2026-120518: 登録処理を悪用して認証なしに任意のファイルを削除できる、CVSS 9.1

World Security 編集部
目次（6）

CVE-2026-120518

WordPress プラグイン「BuddyPress XProfile Custom Image Field」の 3.1.0 以前に、認証なしで任意のファイルを削除できる脆弱性（CVE-2026-120518）が見つかりました。CVSS v3.1 は 9.1（Wordfence による。AV:N/AC:L/PR:N/UI:N）です。wp-config.php などが削除されると、サイトの再セットアップを経由してコード実行に至る可能性があると説明されています。ただし、悪用にはユーザー登録が公開されていて、登録フォームに画像型のプロフィール項目があることが必要です。

概要

項目内容
CVECVE-2026-120518
製品WordPress プラグイン BuddyPress XProfile Custom Image Field（3.1.0 以前）
問題登録の有効化時に呼ばれる bpxp_image_field_update_on_user_activation() が、訪問者が送った登録メタデータから組み立てたパスに対して unlink() を実行する。realpath() による解決、画像用ディレクトリ内かどうかの確認、拡張子の許可リストがない
攻撃条件ネットワーク経由。認証・ユーザー操作は不要。ただし公開の新規登録と、登録フォーム上の画像型プロフィール項目が必要
結果サーバー上の任意のファイルを削除できる。整合性と可用性への影響が大きい
悪用状況CISA KEV への掲載なし。悪用の報告は確認できていない

攻撃の流れ（説明文による）

登録時に 0 バイトのファイルと「field_N_hidden」パラメーターを送ると、プラグインが送られた生の値を保存します。保留中の登録が有効化される際、この値がドキュメントルートを基準に解決され、指し示すファイルが削除されます。

影響範囲

  • BuddyPress XProfile Custom Image Field 3.1.0 以前（NVD の記載）。
  • 公開の新規登録が無効のサイト、または登録フォームに画像型のプロフィール項目がないサイトでは、この経路での悪用は難しいと考えられます。ただし、設定を確認するまでは対象外と断定できません。

対策

  • プラグインを、開発元が公開する修正版へ更新する。修正版が未公開の場合は、更新が出るまで無効化または削除を検討する。
  • 公開の新規登録が不要なら無効にする。
  • 登録フォームの画像型プロフィール項目を一時的に外す。
  • wp-config.php や .htaccess など重要ファイルの有無と更新日時を確認し、バックアップを用意する。
  • 登録エンドポイントへの送信で、「field_*_hidden」に相対パスを含むものがないかアクセスログを点検する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred（2026-11-03 公開、NVD 自身の評価は未実施）
CVSS v3.19.1（Wordfence による。AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）
CWECWE-22
EPSS未算出（FIRST に該当データなし、2026-11-03 時点）
KEV掲載なし
出典NVD、Wordfence、WordPress プラグインリポジトリ（ソース）、FIRST、CISA

未確認の点

  • 修正版の有無と版番号。
  • 実際の悪用の有無、攻撃の規模。
  • 影響を受けるサイトの数。
  • NVD の参照に掲載されている別の CVE（CVE-2025-48158）との関係。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事