Formidable FormsのCVE-2026-89435はHigh―不正プラグイン導入を7.0で修正
CVSS 8.8。6.35以前の無料版のみの構成が対象です。フォーム閲覧権限を委譲された認証済み利用者が、プラグイン導入権限を越えて操作できる問題です。
CVEレコード公開日（開示記録は10月29日UTC）：2026-10-30 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
2026年10月30日、Formidable FormsのCVE-2026-89435が公開されました。Wordfenceの評価はHigh（高）、CVSS v3.1は8.8です。6.35以前で任意のプラグインを導入できる問題があり、7.0の公式変更履歴に権限確認とダウンロードURL検証の強化が記載されています。
成立条件は、Formidable Proを導入していない無料版のみの構成と、認証済み利用者であることです。さらにフォーム閲覧権限frm_view_formsを持ち、共有トークンを取得できることが関係します。単に購読者アカウントが存在すれば、どの構成でも攻撃できるわけではありません。
追加機能の導入処理は共有トークンだけに依存し、install_pluginsやactivate_pluginsを確認していませんでした。取得先URLの先頭部分の検証も不十分なため、正規の導入権限を持たない利用者による任意プラグインの配置につながります。
管理者は7.0以降へ更新し、フォーム閲覧権限の委譲先と不審なプラグインの追加履歴を点検します。更新後は許可した利用者のフォーム操作が維持されるかも確認してください。CVE公開日は修正版の公開日とは異なり、確認したCVEレコードに実悪用の報告はありません。
出典と編集について
Wordfence / CVE Program：CVE-2026-89435 ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。