WordPress Forms の脆弱性 CVE-2025-7384 が FIX：Form 7／WPforms／Elementor などに深刻な影響

Critical WordPress Plugin Vulnerability Puts 70,000+ Sites at Risk of Remote Code Execution

2025/08/14 gbhackers — 世界の７万以上の Web サイトで使用されている、人気の WordPress プラグインに深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用する攻撃者は、標的サイトの完全な乗っ取りを引き起こす可能性を手にする。この脆弱性 CVE-2025-7384 は、Database for Contact Form 7／WPforms／Elementor プラグインに影響を及ぼし、その深刻度は CVSS：9.8 と評価されている。

脆弱性の詳細

この脆弱性は、プラグインの get_lead_detail 関数における不適切な処理に起因し、デシリアライズ前のユーザー入力データに対する、不適切なサニタイズを引き起こす。

この深刻な欠陥を突く未認証の攻撃者は、ユーザー認証情報や特別なアクセス権限を必要とすることなく、悪意の PHP オブジェクトをアプリケーションに挿入できる。

CVE IDCVE-2025-7384
CVSS Score9.8 (Critical)
Vulnerability TypePHP Object Injection / Deserialization of Untrusted Data
Affected Versions≤ 1.4.3
Patched Version1.4.4

この脆弱性が、特に危険な状況を作り出すのは、影響を受けるデータベース・プラグインと併用されることが多い、Contact Form 7 プラグインに存在する Property-Oriented Programming (POP) チェーンとの連鎖が生じるときである。この組み合わせにより、イニシャル・アクセス権限を、任意のファイル削除機能へと昇格させる攻撃者は、Web サイトへの完全な侵害を引き起こす可能性を手にする。

最も深刻な攻撃シナリオは、WordPress のコア・コンフィグ・ファイルである、”wp-config.php” が削除されることだ。この重要なファイルが削除されると、完全なサービス拒否攻撃につながる。また、そのコンフィグの内容に応じて、標的のサーバ上でのリモート・コード実行を、攻撃者に許す可能性もある。

この脆弱性の悪用では認証が必要とされないため、脅威アクターにとっては、きわめてアクセスしやすいものとなる。それにより、影響を受ける Web サイトが直面するのは、データ窃取／サイト改竄／マルウェア・インストールなどのリスクであり、サーバの完全な侵害にいたる恐れもある。

このプラグインは、WordPress 開発者の間で人気を博している。特に、Contact Form 7／WPforms／Elementor といったフォーム・ビルダーを使用する開発者にとって、潜在的な影響が大幅に増大することになる。

影響を受けるプラグインを使用している、Web サイト管理者にとって必要なことは、脆弱性 CVE-2025-7384 に対するパッチを取り込んだ、バージョン 1.4.4 以降へと速やかにアップデートすることだ。サイト所有者は、WordPress 管理パネルの Plugin セクションで、現在のプラグイン・バージョンを確認できる。

セキュリティ専門家が、Web サイト管理者に対して推奨するのは、ファイル・システムの異常な変更に対する監視を実施し、脆弱なプラグイン・バージョンを実行している全サイトに対して、徹底的なセキュリティ監査を実施することだ。

この脆弱性の深刻さと、悪用の容易さを考慮すると、早急な対応を必要とする高優先度のセキュリティ・インシデントとして扱う必要があるだろう。

WordPress の Database for Contact Form 7／WPforms／Elementor プラグインに、深刻な脆弱性が発見されました。原因は、get_lead_detail 関数における不適切な入力データにあり、サニタイズが不十分なデータがデシリアライズされてしまうと、この記事は指摘しています。ご利用のチームは、十分に ご注意ください。よろしければ、WordPress で検索も、ご参照ください。