WR 株式会社WR 松戸のホームページ制作・社内システム・IT相談

株式会社WR

千葉県松戸市
松戸・柏・市川・流山・船橋 対応

ホーム›脆弱性情報›WordPressプラグイン›CVE-2026-103911

警告 CVSS 6.5 WordPressプラグイン CVE-2026-103911 公表 2026年10月16日

Forminator Formsにショートコード実行の脆弱性

Forminator Forms – Contact Form, Payment Form & Custom Form Builder — CVE-2026-103911

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国 脆弱性データベース））↗

どんな問題か

WordPress用のForminator Formsで、入力の確認が不十分なままショートコードが実行される問題があります。未ログインの攻撃者でも、特定のページにアクセスしたりコメントを送るだけで悪用できる可能性があります。

放置するとどうなるか

サイトの内容を書き換えられたり、他のプラグインの情報を勝手に表示されるおそれがあります。設定次第では、知らない間に不正な動作をさせられる可能性があります。

今すぐやること

Forminator Formsを最新版に更新してください。固定版がまだ出ていない場合は、制作会社や保守会社に至急確認し、不要なら一時停止も検討してください。

自分のサイトが該当するかの確認手順

  1. WordPressの管理画面にログインし、左メニュー「プラグイン」（またはテーマ）に Forminator Forms – Contact Form, Payment Form & Custom Form Builder があるか確認します。
  2. あれば、バージョン番号を見て「1.58.1まで」に当てはまるか確認します。
  3. 当てはまる場合は「更新」ボタンで修正版へ。使っていないプラグインなら削除します。更新ボタンが出ない・怖くて押せない場合は、保守会社か当社へご相談ください。
原文（英語）を表示
The The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 1.58.1. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. This is exploitable on any block-theme install via a single unauthenticated GET request to the search results page, or by submitting an anonymous comment on any post with comments enabled; no Forminator-specific content or configuration is required to trigger execution.

※ 解説は NVD（米国 脆弱性データベース） の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。

無料で相談する →