---
title: "WordPress プラグイン BuddyPress XProfile Image Field の CVE-2026-120518: 登録処理を悪用して認証なしに任意のファイルを削除できる、CVSS 9.1"
url: https://n-t-p.io/worldsecurity/articles/wordpress-buddypress-xprofile-image-field-arbitrary-file-deletion-cve-2026-120518
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-120518
---

# WordPress プラグイン BuddyPress XProfile Image Field の CVE-2026-120518: 登録処理を悪用して認証なしに任意のファイルを削除できる、CVSS 9.1

> **TL;DR:** WordPress プラグイン BuddyPress XProfile Custom Image Field 3.1.0 以前で、登録処理を悪用して認証なしの攻撃者が任意のファイルを削除できる（CVE-2026-120518、CVSS 9.1）。公開の新規登録と画像型プロフィール項目が条件。更新、または無効化と登録設定の見直しを行う。

**要点**
- 有効化時の unlink() が、訪問者の送った登録メタデータ由来のパスを検証せずに使う。認証・ユーザー操作は不要で、wp-config.php などの削除によりコード実行につながる可能性
- CVSS v3.1 9.1（Wordfence 評価、AV:N/PR:N）。認証不要かつ 9 以上のため critical。ただし公開の新規登録と画像型プロフィール項目が必要
- 3.1.0 以前が対象。KEV 掲載なし、EPSS は未算出、NVD は Deferred
- 修正版の有無・番号と、悪用の有無は未確認

WordPress プラグイン「BuddyPress XProfile Custom Image Field」の 3.1.0 以前に、認証なしで任意のファイルを削除できる脆弱性（CVE-2026-120518）が見つかりました。CVSS v3.1 は 9.1（Wordfence による。AV:N/AC:L/PR:N/UI:N）です。wp-config.php などが削除されると、サイトの再セットアップを経由してコード実行に至る可能性があると説明されています。ただし、悪用にはユーザー登録が公開されていて、登録フォームに画像型のプロフィール項目があることが必要です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-120518 |
| 製品 | WordPress プラグイン BuddyPress XProfile Custom Image Field（3.1.0 以前） |
| 問題 | 登録の有効化時に呼ばれる bpxp_image_field_update_on_user_activation() が、訪問者が送った登録メタデータから組み立てたパスに対して unlink() を実行する。realpath() による解決、画像用ディレクトリ内かどうかの確認、拡張子の許可リストがない |
| 攻撃条件 | ネットワーク経由。認証・ユーザー操作は不要。ただし公開の新規登録と、登録フォーム上の画像型プロフィール項目が必要 |
| 結果 | サーバー上の任意のファイルを削除できる。整合性と可用性への影響が大きい |
| 悪用状況 | CISA KEV への掲載なし。悪用の報告は確認できていない |

## 攻撃の流れ（説明文による）

登録時に 0 バイトのファイルと「field_N_hidden」パラメーターを送ると、プラグインが送られた生の値を保存します。保留中の登録が有効化される際、この値がドキュメントルートを基準に解決され、指し示すファイルが削除されます。

## 影響範囲

- BuddyPress XProfile Custom Image Field 3.1.0 以前（NVD の記載）。
- 公開の新規登録が無効のサイト、または登録フォームに画像型のプロフィール項目がないサイトでは、この経路での悪用は難しいと考えられます。ただし、設定を確認するまでは対象外と断定できません。

## 対策

- プラグインを、開発元が公開する修正版へ更新する。修正版が未公開の場合は、更新が出るまで無効化または削除を検討する。
- 公開の新規登録が不要なら無効にする。
- 登録フォームの画像型プロフィール項目を一時的に外す。
- wp-config.php や .htaccess など重要ファイルの有無と更新日時を確認し、バックアップを用意する。
- 登録エンドポイントへの送信で、「field_*_hidden」に相対パスを含むものがないかアクセスログを点検する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred（2026-11-03 公開、NVD 自身の評価は未実施） |
| CVSS v3.1 | 9.1（Wordfence による。AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H） |
| CWE | CWE-22 |
| EPSS | 未算出（FIRST に該当データなし、2026-11-03 時点） |
| KEV | 掲載なし |
| 出典 | NVD、Wordfence、WordPress プラグインリポジトリ（ソース）、FIRST、CISA |

## 未確認の点

- 修正版の有無と版番号。
- 実際の悪用の有無、攻撃の規模。
- 影響を受けるサイトの数。
- NVD の参照に掲載されている別の CVE（CVE-2025-48158）との関係。


## 出典
- [NVD CVE-2026-120518](https://nvd.nist.gov/vuln/detail/CVE-2026-120518) — NIST NVD
- [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/1a53bcf5-61ed-427c-9efd-29c9309d2426?source=cve) — Wordfence
- [WordPress プラグインリポジトリ（3.1.0 ソース）](https://plugins.trac.wordpress.org/browser/buddypress-xprofile-image-field/tags/3.1.0/bp-xprofile-image-field.php#L488) — WordPress.org
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120518) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-buddypress-xprofile-image-field-arbitrary-file-deletion-cve-2026-120518