WORDPRESS SECURITY

CODE MONKEYS PROPOSALSにSubscriberから任意ファイル削除・サイト乗っ取りにつながるCritical脆弱性（CVE-2026-77005）

Critical

WordPressプラグイン「CODE MONKEYS PROPOSALS」の脆弱性情報（CVE-2026-77005）。影響バージョンは1.0.1以下。修正版修正版未確認への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: CODE MONKEYS PROPOSALS（プラグイン）
CVE: CVE-2026-77005
CVSS / 深刻度: 9.6 / Critical
影響バージョン: 1.0.1以下
修正版: 修正版未確認
脆弱性種別: 任意ファイル削除 / Path Traversal / 権限不備

脆弱性の概要

CODE MONKEYS PROPOSALS 1.0.1以下には、Subscriberなど低権限ユーザーが任意のサーバーファイルを削除でき、サイト停止やサイト乗っ取りにつながるCritical脆弱性があります。

技術的な内容

削除対象となるユーザー指定ファイルパスを検証せず、操作ユーザーのcapabilityチェックも行っていないことが原因です。CVSS 9.6 Critical。CISA ADPでは現時点のExploitation:noneとされています。WordPress.org上では旧版が配布されており、CVEの公式データでは修正版が確認されていません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できるまで停止・削除を推奨します。使用していたサイトでは重要ファイルの欠損・改変、エラーログ、最近の低権限ユーザー操作を確認し、正常なバックアップから復旧できる状態を確認してください。

情報源

情報確認日時：2026年9月15日 00:56

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。