WordPressプラグイン「BP Profile Search」に、サーバー内のファイルを不正に読み込まれる可能性がある脆弱性が報告されました。2026年10月13日に公開されたCVE-2026-104995は、CVSS 8.1と評価されています。バージョン5.9以前が対象です。Wordfence
BP Profile Searchとは？
BP Profile Searchは、BuddyPressの会員検索機能を拡張するプラグインです。会員プロフィールの項目を利用して検索フォームを作成したり、条件に一致する会員を一覧表示したりできます。会員制コミュニティ、オンラインサークル、会員ディレクトリなどで利用できます。
検索条件を自由に組み合わせられるため、会員数が多いサイトでも目的のユーザーを探しやすくなる点がメリットです。2026年10月13日時点の有効インストール数は5,000以上です。
今回の脆弱性について
今回の問題は、BuddyPressの会員一覧をAJAXで読み込む処理に関係しています。外部から指定されたテンプレート名の検証が不十分だったため、サーバー内のPHPファイルを不正に読み込める可能性があります。このような問題はローカルファイルインクルード（LFI）と呼ばれます。
環境によっては、不正なコードの実行につながるおそれがあります。ただし、すべての環境でリモートコード実行が成立するとは限りません。
確認と対策
BP Profile Searchを利用している場合は、バージョン6.0以降へ更新してください。更新後は、会員検索フォーム、検索結果、会員一覧ページの表示などを確認しましょう。BuddyPressと連携するプラグインでは、更新後に会員関連の機能が正常に動作することも重要です。
まとめ
会員検索プラグインは、プロフィール情報や会員一覧などを扱います。セキュリティ更新が公開された場合は、会員情報の安全性を保つためにも、適切な更新を行いましょう。
公式情報： WordPress.org — BP Profile Search
脆弱性情報： Wordfence — CVE-2026-104995