「WS Form LITE」の脆弱性 CVE-2026-4703: 安全でないデシリアライゼーション

どんな危険があるか

WordPress 用の WS Form LITE – Drag & Drop Contact Form Builder プラグインのバージョン 1.10.80 以前には、フォーム送信メタ値からの信頼できない入力のデシリアライズを介した、認証不要の PHP オブジェクトインジェクションの脆弱性が存在します。この脆弱性単体では既知の POP チェーンが存在しないため直接的な影響は小さいものの、サイトに別のプラグインやテーマが脆弱な POP チェーンを含んでいる場合、攻撃者が任意のファイルの削除、機密データの取得、またはコードの実行を可能にする可能性があります。

今すぐやること

WS Form LITE プラグインのバージョン 1.10.80 以前を使用している WordPress サイトの管理者は、直ちにプラグインを最新バージョンにアップデートしてください。ベンダーの changelog (https://plugins.trac.wordpress.org/changeset/3489609/) に修正が含まれていることが示唆されています。また、サイトにインストールされている他のプラグインやテーマも最新の状態に保ち、既知の脆弱性が存在しないことを確認することが重要です。