Chatterbug Formsに認証不要のファイルアップロード脆弱性
WordPressのフォーム用プラグインChatterbug Formsの1.0.2以前に、ログイン不要でPHPなどのファイルを置かれ、サーバー上でコードを実行されるおそれのある脆弱性が公表されました。使っているサイトは版を確認し、修正版がなければ無効化を検討してください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワークから悪用でき、修正版の公開は確認できていないためです（KEVへの掲載は確認していません）。
関係があるか
WordPressにChatterbug Formsプラグインを入れ、公開ページにフォームを置いているサイトが対象です。利用者の操作や管理者権限は要らないため、フォームを外部に公開している企業サイトや問い合わせ窓口は優先して確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Chatterbug Forms-Fast, Flexible WordPress Form Builder（WordPressプラグイン） | 1.0.2までのすべての版 | 修正版の版番号は確認できていません。WordPressのプラグイン配布ページとWordfenceの情報で確認してください。 |
確かめ方
- 1WordPress管理画面の「プラグイン」一覧で、Chatterbug Formsが入っているか、有効か、版がいくつかを確認します。
- 2WP-CLIを使える環境では、
wp plugin get chatterbug-forms --field=versionで版を確認できます。 - 3複数のサイトを運用している場合は、すべてのサイトでプラグイン一覧を確認します。使っていないサイトに入ったままの場合もあります。
何が起きたか
WordPress用プラグインChatterbug Formsに、訪問者が送ったファイルの種類を正しく検査しない脆弱性が見つかりました。1.0.2までのすべての版が対象で、ログインしていない第三者がPHPファイルのような実行できるファイルをサーバーに置ける状態です。置かれたファイルが動けば、サーバー上で任意のコードを実行される可能性があります。
原因は、フォームの送信を処理する関数 cbforms_check_form_submissions に、サーバー側の拡張子の検証がないことです。分類はCWE-434（危険な種類のファイルの無制限アップロード）です。
深刻度はCVSS v3で9.8、重大に分類されています。公開は2026年11月13日です。
攻撃の流れ
-
1
公開ページを閲覧
フォームを置いた公開ページに埋め込まれた、送信用のnonceを誰でも読み取れる。
-
2
フォームへ送信
取得したnonceを使って、ログインなしでファイル付きの送信を行う。
-
3
検査をすり抜け
拡張子の検査が働かず、PHPを含む任意の種類のファイルが受け付けられる。
-
4
ファイルが設置
実行できるファイルがサーバー上に残る。
-
5
コード実行の恐れ
置かれたファイルが動くと、サーバーを遠隔から操作される。
どう悪用されるか
認証は要りません。攻撃者はインターネット経由で、フォームがある公開ページにアクセスできれば足ります。CVSSのベクターでも、権限なし・利用者の操作なし・攻撃の複雑さは低いとされています。
送信に使うnonceは、フォームを含むすべての公開ページに埋め込まれていて、誰でも入手できます。そのため、アクセス制御としては働きません。また、フォームのフィールドにファイル種別の制限を設定していない場合、許可の判定がアップロードされたファイル自身の拡張子になり、.phpを含むどんな拡張子も通ります。
悪用が成功すると、機密性・完全性・可用性のすべてで影響が大きいと評価されています。具体的には、サイト内の情報の閲覧、改ざん、サービス停止、サーバー上でのコード実行です。
今すぐやること
-
1
使用の有無と版を確認する
管理中のWordPressすべてで、Chatterbug Formsが入っているか、1.0.2以下かを確認します。無効化されていても入ったままのサイトは、削除まで検討します。
wp plugin get chatterbug-forms --field=version -
2
修正版の有無を確認して更新する
WordPressのプラグイン配布ページとWordfenceの脆弱性情報で、修正版の公開状況を確認します。1.0.2より新しい修正版があれば、すぐに更新します。
-
3
修正版がなければ無効化する
修正版を確認できないうちは、プラグインを無効化して、フォームを別の手段に切り替えます。フォームが不要なら削除します。
-
4
侵害の跡を調べる
ウェブサーバーのログで、フォームの送信先へのファイル付きPOSTに不審なものがないかを見ます。サーバー上のアップロード先などに、見覚えのない.phpファイルがないかも調べます。見つかったら、サイトを止めて調査し、認証情報の変更を検討します。
修正版がないあいだのつなぎ
修正版を当てられないときは、プラグインを無効化または削除するのが確実です。どうしても残す場合は、アップロードされたファイルの保存先でPHPが実行されないよう、ウェブサーバー側で設定します。あわせて、フォームの各ファイル欄に許可する拡張子を明示します。ただし、これらは暫定の対策で、脆弱性そのものはなくなりません。
背景
Chatterbug Formsは、WordPressサイトに問い合わせや申し込みのフォームを作るプラグインです。フォームは一般の訪問者から入力とファイルを受け取るため、サイトの中でも外部に最も開かれた入口の一つになります。ログイン不要の入口でファイルの種類の検査が抜けると、攻撃者に実行可能なファイルを置かれやすくなります。
今回の脆弱性では、送信に使うnonceが公開ページに埋め込まれている点も効いています。nonceは本来、意図しない送信を防ぐための仕組みで、利用者を識別する認証ではありません。誰でも読める場所に出ている以上、nonceがあっても実質的な防御にはならない、というのが今回の評価です。
よくある質問
Q.プラグインを無効化すれば、それで安全になりますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| sameh101Chatterbug Forms – Fast, Flexible WordPress Form Builder |
1.0.2 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Chatterbug Forms – Fast, Flexible WordPress Form Builder plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.0.2 via the cbforms_check_form_submissions function. This is due to missing server-side file extension validation in cbforms_check_form_submissions(), where the allowed-type check defaults to the uploaded file's own extension when no field restriction is configured, trivially allowing any extension including .php. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. The submission nonce printed inline on every public page containing a Chatterbug form is freely obtainable by unauthenticated visitors and therefore does not constitute an effective access control barrier.
出典: CVE.org (CVE Program・cvelistV5) NVD