🔴 CVE-2026-6960: Critical Schwachstelle

„`html

Zusammenfassung

Die kritische Sicherheitslücke CVE-2026-6960 betrifft das populäre WordPress-Plugin BookingPress Pro in allen Versionen bis einschließlich 5.6. Eine unzureichende Validierung von Dateitypen ermöglicht unauthentizierten Angreifern das Hochladen beliebiger Dateien auf den Server, was potenziell zur Remote Code Execution führen kann. Die Ausnutzung ist allerdings an die Konfiguration eines Signature-Felds im Buchungsformular gebunden.

Betroffene Systeme

Primär betroffen sind WordPress-Installationen mit dem BookingPress Pro Plugin in den Versionen 5.6 und älter. Das Plugin wird zur Verwaltung von Buchungen und Terminvergaben verwendet und ist weit verbreitet im deutschsprachigen Raum. Besonders gefährdet sind Websites mit aktivierten Signature-Custom-Fields in ihren Buchungsformularen.

Technische Details

Die Anfälligkeit liegt in der Funktion bookingpress_validate_submitted_booking_form_func, welche hochgeladene Dateien unzureichend validiert. Angreifer können mittels gezielter POST-Requests beliebige Dateitypen, einschließlich PHP-Dateien oder Shell-Skripte, in das Upload-Verzeichnis des Servers platzieren. Durch das Signature-Feld erfolgt die Validierung unter der falschen Annahme, dass ausschließlich Bilddateien hochgeladen werden. Eine MIME-Type-Prüfung oder Dateiendungs-Whitelisting fehlt vollständig, weshalb auch .php-Dateien akzeptiert werden.

Empfohlene Maßnahmen

• Sofortige Deaktivierung: Plugin deaktivieren und löschen, bis ein Sicherheits-Patch verfügbar ist
• Alternativ-Plugins: Auf vertrauenswürdige Alternativen wie Calendly oder ähnliche Dienste wechseln
• Server-Härtung: PHP-Ausführung in Upload-Verzeichnissen deaktivieren (.htaccess oder nginx-Config)
• Log-Überprüfung: Verdächtige Dateizugriffe und Uploads analysieren
• Web Application Firewall: Regeln zum Blockieren verdächtiger File-Upload-Requests implementieren

Bewertung

Mit einem CVSS-Score von 9.8 und fehlendem Patch handelt es sich um eine kritische Bedrohung. Die Ausnutzung erfordert minimales Knowhow und führt direkt zu Serverkompromittierung. Eine sofortige Aktion ist notwendig.

„`