WP向けプラグイン「Contact Form CFDB7」に深刻な脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けプラグイン「Contact Form CFDB7」に脆弱性が明らかとなった。

同プラグインは、広く利用されている別のフォームプラグイン「Contact Form 7」を通じて送信されたデータを「WordPress」のデータベースに保存することができるプラグイン。

「SQLインジェクション」の脆弱性「CVE-2025-4665」が明らかとなった。細工したリクエストによって認証を必要とすることなく「PHPオブジェクト」を挿入できる。

悪用の成立には正規ユーザーの特定操作が必要とされるが、情報漏洩のほか、ホスト上でコードを実行されるおそれもあるなど影響が大きいという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同脆弱性は「同1.3.2」までのバージョンに存在。報告を受けた開発者は「同1.3.3」にて同脆弱性を修正した。

（Security NEXT - 2025/11/05 ）ツイート