100万インストールのWordPressプラグイン「Ninja Forms」にCVSSv3スコア9.8の脆弱性

WordPressの入力フォーム生成プラグイン「Ninja Forms」にCVSSv3スコア9.8の脆弱性が見つかった。該当のプラグインを使用している場合は迅速なアップデート適用が求められる。

[後藤大地，有限会社オングス]

　セキュリティ企業DefiantのWordfence脅威インテリジェンスチームは2022年6月16日（現地時間）、CMS（Contents Management System）「WordPress」の入力フォーム生成プラグイン「Ninja Forms」に「緊急」（Critical）の脆弱（ぜいじゃく）性が存在すると伝えた。

　Ninja Formsを使用している場合は、直ちにバージョンを確認するとともに問題を修正したバージョンにアップデートを適用してほしい。

WordfenceはNinja Formsの脆弱性について伝えた（出典：WordfenceのWebサイト）

CVSSv3スコアは9.8　脆弱性が存在するバージョンは？

　Ninja Formsは、WordPressで構築したWebサイトを簡単にカスタマイズできるプラグインで、100万以上のアクティブインストールがある。同プラグインは、フォームに「マージタグ」を追加し、投稿IDやログインユーザー名など、WordPressの他の領域から値を自動入力する機能を持っている。

　Wordfenceは、同機能には脆弱なWordPressサイトを標的とするさまざまなエクスプロイト（脆弱性を突いた攻撃プログラム）に使用可能な「NinjaFormクラス」を呼び出せる欠陥があったと指摘している。