CVE-2026-15008: Arbitrary File Deletion in Uncanny Automator WordPress Plugin

Zusammenfassung

Das WordPress-Plugin „Uncanny Automator – Easy Automation, Integration, Webhooks & Workflow Builder“ (Versionen bis einschließlich 7.3.1.4) weist eine kritische Sicherheitslücke auf. Unauthentifizierte Angreifer können mittels unzureichender Pfad-Validierung in der fr_token-Funktion beliebige Dateien vom Server löschen. Dies führt direkt zu Remote Code Execution (RCE), besonders beim Löschen kritischer Dateien wie wp-config.php.

Betroffene Systeme

• Uncanny Automator Plugin Versionen ≤ 7.3.1.4
• WordPress-Installationen mit aktiviertem Plugin
• Systeme mit Forminator-Formularen (Voraussetzung für Exploitation)

Technische Details

Angriffsvektor: Network (unauthentifiziert)

CVSS-Score: 8.1 (High)

Die Schwachstelle basiert auf fehlender Input-Validierung. Der Angriff nutzt:

• Ein mit einem Uncanny Automator-Recipe verbundenes Forminator-Formular
• Recipe-Konfiguration für „Everyone“ (öffentliche Submissions)
• Serialisierte Payload mit Gadget Chain über Action_Helpers_Email __destruct()-Methode
• Keine externe Gadget-Library erforderlich

Angreifer können durch manipulierte POST-Requests Pfadtraversal-Sequenzen in der fr_token-Funktion injizieren und gezielt Systemdateien löschen.

Empfohlene Massnahmen

• Sofortmaßnahme: Plugin deaktivieren bis Patch verfügbar ist
• Validierung: Alle Forminator-Formulare auf öffentliche Submissions prüfen
• Monitoring: Web-Logs auf verdächtige Requests analysieren
• Backup: Aktuelle Backups von wp-config.php und kritischen Dateien erstellen
• WAF-Rules: Requests mit Pfadtraversal-Mustern blockieren
• Auf Sicherheitsupdate des Herstellers warten

Bewertung

Diese Sicherheitslücke stellt eine erhebliche Bedrohung dar. Die Kombination aus fehlender Authentifizierung, einfacher Ausnutzbarkeit und direktem RCE-Potenzial erfordert sofortige Maßnahmen. Die Abhängigkeit von spezifischen Plugin-Konfigurationen (Forminator + öffentliches Recipe) begrenzt die Angriffsoberfläche, eliminiert sie aber nicht vollständig.