JetFormBuilderに権限昇格の脆弱性、3.6.7.1以前
WordPressのフォーム作成プラグインJetFormBuilderの3.6.7.1以前に、認証なしで権限を昇格できる脆弱性が公表されました。該当版を使うサイトの管理者は、版を確認し、修正版の有無を提供元の告知で調べて更新を進めてください。
急ぎ度: 早めに
CVSS v3は9.8で、認証も利用者の操作も要らずネットワークから狙える条件ですが、公表は当日で、修正版の有無はまだ確認できていません。
関係があるか
JetFormBuilderを有効にしているWordPressサイトが対象です。問い合わせフォームや申込フォームを公開している企業サイトやキャンペーンサイトも含まれます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Crocoblock JetFormBuilder（WordPressプラグイン） | 3.6.7.1までのすべての版 | 提供元（Crocoblock）の告知やWordPressのプラグイン更新画面で確認してください |
確かめ方
- 1WordPressの管理画面で「プラグイン」の一覧を開き、JetFormBuilderの版が3.6.7.1以下かどうかを見ます。
- 2WP-CLIを使えるサーバーでは、下のコマンドで版を確認できます。
- 3制作会社や運用委託先がサイトを管理している場合は、JetFormBuilderを入れているかを問い合わせます。複数のサイトを預かっている業者は、サイトごとに確認が必要です。
何が起きたか
JetFormBuilderには、権限の割り当てを誤る脆弱性があります。悪用されると、本来持たない高い権限を第三者が得るおそれがあります。
この脆弱性は2026年11月4日に公表されました。分類はCWE-266（権限の不適切な割り当て）で、影響する版は3.6.7.1までです。重大度はcriticalで、CVSS v3は9.8です。
公表の説明は短く、どの処理で権限の扱いを誤るのかまでは触れていません。ただ、権限昇格の脆弱性は、サイトの管理者に近い権限を握られる事態につながりやすい種類です。
攻撃の流れ
-
1
サイトに到達
攻撃者がインターネット経由で、JetFormBuilderが動くWordPressサイトにアクセスします。
-
2
権限の誤りを突く
ログインしていない状態のまま、プラグインの権限の割り当てに不備がある点を狙います。
-
3
高い権限を得る
本来は許されない権限を手に入れます。
-
4
サイトを操作
得た権限で、情報の閲覧や設定・内容の書き換え、サイトの停止につながる操作が可能になります。
どう悪用されるか
悪用に必要な前提は少なく、ログインしていない第三者が、ネットワーク越しに、利用者の操作なしで攻撃できる条件です。複雑な準備も要りません。CVSSのベクタ（AV:N/AC:L/PR:N/UI:N）もそのとおりに示しています。
成功した場合の被害は、機密性・完全性・可用性のすべてで高いと評価されています。具体的には、サイトに保存された情報の閲覧、ページや設定の書き換え、サイトの停止が想定されます。フォームで集めた問い合わせや申込の内容が見られる場合も考えられます。
今すぐやること
-
1
JetFormBuilderの版を確認する
管理画面のプラグイン一覧か、WP-CLIで版を調べ、3.6.7.1以下なら対象として扱います。ステージングや過去の検証サイトにも同じプラグインが残っていないか、あわせて見ておきます。
wp plugin get jetformbuilder --field=version -
2
修正版の有無を確認して更新する
Crocoblockの告知や、脆弱性情報を扱うPatchstackの記載で、修正版が出ているかを確かめます。出ていれば、先にバックアップを取ってから修正版に更新します。本番に当てる前にテスト環境で、フォームの送信と通知メールが動くことを見ておくと安全です。
-
3
管理者アカウントと最近の変更を調べる
身に覚えのない管理者や編集者のアカウントがないか、ユーザー一覧を確認します。あわせて、最近追加されたプラグインやテーマ、書き換えられたページがないかも見ます。公表当日の脆弱性ですが、更新前にすでに狙われた可能性は否定できないためです。
-
4
修正版が確認できないときは回避策を取る
修正版がまだ見当たらない場合や、すぐに当てられない場合は、下の回避策でつなぎます。その後も提供元の告知を定期的に確認し、修正版が出た時点で更新します。
修正版がないあいだのつなぎ
修正版を当てられるまでは、JetFormBuilderを無効化するのがもっとも確実です。フォームは動かなくなるので、問い合わせの受付を電話やメールなど別の窓口に切り替えるか、案内ページを出しておきます。提供元の告知に個別の回避策が書かれていれば、そちらに従ってください。
背景
JetFormBuilderは、Crocoblockが提供するWordPress向けのフォーム作成プラグインです。問い合わせ、資料請求、申込といったフォームを管理画面から組み立てる用途で使われ、フォームは一般の訪問者が使うため、サイトの公開ページから誰でも触れる位置に置かれます。
今回の脆弱性の種類は、権限の割り当ての誤りです。フォームのように外部からの入力を受けるプラグインでこれが起きると、認証を経ない相手が内部の権限に手を伸ばせる点が問題になります。公開サイトの入口に置かれる部品だけに、影響を受けるサイトは、プラグインを有効にしているだけで対象になりえます。
よくある質問
Q.フォームを1つも公開していませんが、プラグインが有効なだけでも対象ですか。
まだ分かっていないこと
- 権限の割り当てがどの処理で誤るのか、攻撃者がどの権限を得られるのかといった詳細は、脆弱性の説明に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Crocoblock | JetFormBuilder |
3.6.7.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incorrect Privilege Assignment vulnerability in Crocoblock JetFormBuilder jetformbuilder allows Privilege Escalation.This issue affects JetFormBuilder: from n/a through 3.6.7.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com