🟠 CVE-2025-15028: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2025-15028 betrifft das WordPress-Plugin „FormGent – Next-Gen AI Form Builder“. Das Plugin weist eine Stored Cross-Site Scripting (XSS)-Schwachstelle auf, die es unauthentizierten Angreifern ermöglicht, beliebige JavaScript-Code in Formularen einzuschleusen. Der injizierte Code wird bei jedem Seitenaufruf durch legitime Benutzer ausgeführt. Mit einem CVSS-Score von 7.2 wird diese Sicherheitslücke als „High“ klassifiziert.

Betroffene Systeme

Betroffen sind alle Versionen des FormGent-Plugins bis einschließlich Version 1.9.2. Das Plugin wird in WordPress-Installationen zur Erstellung von Multi-Step-Formularen, Quiz-Anwendungen und Zahlungsformularen eingesetzt. Besonders gefährdet sind öffentliche WordPress-Seiten, auf denen Benutzer Formulare ausfüllen können.

Technische Details

Die Vulnerabilität resultiert aus unzureichender Eingabevalidierung und mangelndem Output-Escaping in den Formular-Eingabefeldern. Angreifer können Script-Tags und weitere schädliche HTML-Strukturen direkt in Formularfeldern platzieren. Diese werden in der Datenbank gespeichert und nicht bereinigt, bevor sie dem Browser ausgegeben werden. Eine erfolgreiche Ausnutzung setzt keine Authentifizierung voraus.

Typische Angriffsvektoren sind die Injection von Event-Handlern (z.B. onclick, onload), die Platzierung von <script>-Tags oder die Manipulation von Attributwerten zur Cookie-Diebstahl oder Session-Hijacking.

Empfohlene Massnahmen

• Sofortmaßnahme: Deaktivieren Sie das Plugin bis zur Verfügbarkeit eines Patches
• Input-Validierung: Implementieren Sie strikte Whitelist-basierte Eingabeprüfung
• Output-Escaping: Nutzen Sie wp_kses_post() oder htmlspecialchars() für die Ausgabe
• Content Security Policy: Implementieren Sie CSP-Header zur Script-Ausführungskontrolle
• Monitoring: Überprüfen Sie Formulardaten auf verdächtige Inhalte

Bewertung

Diese Schwachstelle stellt ein erhebliches Risiko dar, da keine Authentifizierung erforderlich ist und eine große Benutzerbase potentiell betroffen sein kann. Der fehlende Patch erhöht die Dringlichkeit der Maßnahmen. Eine sofortige Deaktivierung des Plugins wird empfohlen.

„`