Kritische WordPress-Schwachstelle ermöglicht Codeausführung ohne Anmeldung

Im WordPress-Plugin Forminator Forms mit über 600.000 Installationen erlaubt eine Lücke Codeausführung ohne Anmeldung.

Die als CVE-2026-15748 geführte Schwachstelle im WordPress-Plugin Forminator Forms wird mit einem CVSS-Wert von 9,8 bewertet. Laut dem Sicherheitsunternehmen Wordfence können nicht authentifizierte Angreifer über die Lücke beliebige Dateien, einschließlich ausführbarer PHP-Dateien, auf eine verwundbare Website hochladen, was zu vollständiger Codeausführung und Kontrollübernahme führen kann. Voraussetzung für eine erfolgreiche Ausnutzung ist, dass die betroffene Website ein Formular mit sowohl einem Datei-Upload-Feld als auch einem Auswahlfeld enthält. Betroffen sind sämtliche Plugin-Versionen bis einschließlich 1.56.1, behoben wurde die Lücke am 31. Juli 2026 mit Version 1.56.2.

Ursache ist nach Angaben von Wordfence eine unzureichende Prüfung des Dateityps in der Funktion handle_file_upload, bei der eine auf exakten Übereinstimmungen beruhende Sperrliste gefährlicher Dateiendungen durch alternative MIME-Type-Angaben umgangen werden kann, kombiniert mit einer öffentlich erreichbaren Verarbeitungsroutine, die eine vom Angreifer über ein gefälschtes Auswahlfeld eingeschleuste Upload-Konfiguration ungeprüft übernimmt. In der Standardkonfiguration landen hochgeladene Dateien zwar in einem durch eine .htaccess-Datei vor PHP-Ausführung geschützten Verzeichnis.

Haben Websitebetreiber jedoch einen eigenen Speicherort für Datei-Uploads konfiguriert, fehlt dieser Schutz möglicherweise, da die schützende .htaccess-Datei in diesem Fall erst bei der ersten tatsächlichen Anfrage erzeugt wird, zu einem Zeitpunkt, an dem die dafür zuständige WordPress-Komponente nicht geladen ist. Der bloße Abruf der zuvor hochgeladenen Datei genügt in diesem Fall bereits, damit der Webserver den eingeschleusten PHP-Code ausführt.

Zweite kritische Schwachstelle in weiterem WordPress-Plugin

Die Offenlegung folgt wenige Tage, nachdem Wordfence bereits eine weitere kritische Schwachstelle im Plugin User Profile Builder gemeldet hatte, das nach eigenen Angaben mehr als 40.000 aktive Installationen zählt. Über die als CVE-2026-15826 geführte und ebenfalls mit einem CVSS-Wert von 9,8 bewertete Authentifizierungsumgehung konnten sich nicht authentifizierte Angreifer als Nutzer mit der ID 1, in der Regel der Administrator der jeweiligen Website, anmelden und die vollständige Kontrolle übernehmen. Ausnutzbar war die Lücke nur, wenn die im Plugin vorhandene Funktion zur automatischen Anmeldung nach Registrierung aktiviert war.

Ursache war ein Programmierfehler, durch den ein bei der Registrierung entstehender Fehlerhinweis unter bestimmten Bedingungen fälschlich in die Nutzerkennung 1 umgewandelt wurde. Diese Schwachstelle wurde bereits am 16. Juli 2026 mit Version 3.16.5 behoben. Betreibern von Websites, die eines der beiden Plugins einsetzen, wird empfohlen, die verfügbaren Updates umgehend einzuspielen.

(red)