BuddyForms（WordPress）で未認証の管理者アカウント作成（CVSS 9.8）

Critical（CVSS 9.8）に分類されるThemeKraft BuddyForms（WordPress プラグイン）2.10.5 以前の脆弱性です。**WordPress プラグイン BuddyForms の 2.10.5 以前で、認証していない攻撃者が管理者権限のアカウントを作り、サイトを乗っ取れる。** 公開フォームの送信処理が bf_post_type を信頼し、さらに save_post の処理に権限確認とノンスが無いため、new_user_role を攻撃者が指定した不正なフォーム設定を登録できる。そのフォームから登録すると管理者として作成される。 **前提。** NVD の記述（CNA は Wordfence）によれば、WordPress の「だれでもユーザー登録ができる」が有効で、公開の BuddyForms フォームがページに置かれていることが条件となる。 **評価値。** Wordfence の CVSS 3.1 は **9.8 Critical**。NVD の分析状況は Deferred（NVD 自身の評価は付かない）。CISA KEV には収載されておらず、悪用の報告は確認できていない。 **修正。** WordPress.org の変更履歴によれば 2.10.6（2026年10月19日）で、送信時の投稿タイプをフォームの設定に固定する、匿名登録にサイト管理の権限を割り当てられないようにする、フォーム保存にノンスと編集権限の確認を加える、の修正が入った。有効インストール数は 800 以上である。

**BuddyForms を 2.10.6 以降へ更新する。** 管理画面か WP-CLI で更新できる。 **すぐ更新できない場合（公式の回避策ではなく当サイトの整理）。** 攻撃の前提を外すため、「だれでもユーザー登録ができる」を切るか、公開フォームをページから外す。 **侵害の確認。** 身に覚えのない管理者アカウントと、作った覚えのない BuddyForms フォームが無いかを調べる。 **完了条件**は、プラグインが 2.10.6 以降であり、不審な管理者とフォームが無いことを確認したこと。

ThemeKraft BuddyForms（WordPress プラグイン）2.10.5 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-107622）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。