WordPress HDForms プラグイン <= 1.6.1 - 任意のファイル削除の脆弱性

このパス・トラバーサル脆弱性は、攻撃者がファイルシステムの制限を回避し、本来アクセスできないはずのファイルにアクセスすることを可能にします。攻撃者は、設定ファイル、ログファイル、ソースコードなど、機密情報を含むファイルを読み取ることが可能です。取得した情報を元に、さらなる攻撃（例えば、認証情報の窃取や、システムへのコード実行）を試みる可能性があります。この脆弱性は、Webアプリケーションのセキュリティを著しく損ない、重大な情報漏洩事故につながる可能性があります。

WordPress websites utilizing the HDForms plugin, particularly those running versions 0.0.0 through 1.6.1, are at risk. Shared hosting environments are especially vulnerable, as they often have limited control over server file permissions. Sites with legacy configurations or those lacking robust input validation practices are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/hdforms/*

• generic web:

curl -I "http://your-wordpress-site.com/wp-content/plugins/hdforms/../../../../etc/passwd" # Check for file disclosure

1. 2026-01-22Disclosure

   disclosure

1. 予約済み2025-12-24
2. 公開日2026-01-22
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、HDFormsをバージョン1.6.2にアップデートすることです。アップデートが直ちに実行できない場合は、Webアプリケーションファイアウォール（WAF）を使用して、パス・トラバーサル攻撃を検知・防御するルールを実装することを推奨します。また、ファイルアクセス権限を適切に設定し、不要なファイルへのアクセスを制限することも有効です。WordPressの.htaccessファイルで特定のディレクトリへのアクセスを制限する設定も検討してください。