„`html
Zusammenfassung
Die SicherheitslĂĽcke CVE-2026-18328 betrifft das WordPress-Plugin „Forminator Forms – Contact Form, Payment Form & Custom Form Builder“ in allen Versionen bis einschlieĂźlich 1.57.0. Die Vulnerability ermöglicht DOM-basierte Reflected Cross-Site Scripting (XSS) ĂĽber den Parameter ‚error_description‘. Unauthentifizierte Angreifer können dadurch beliebigen JavaScript-Code in Webseiten einschleusen, der bei Zugriff durch Benutzer ausgefĂĽhrt wird.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem Forminator-Plugin in Version 1.57.0 und älter. Die Exploit ist nur auf Seiten auslösbar, die ein Forminator-Formular mit konfigurierter Stripe Checkout Sessions Payment API hosten. Diese API wurde ab Version 1.56.0 zur Standardkonfiguration.
Technische Details
Die Vulnerability basiert auf unzureichender Input-Sanitization und Output-Escaping des ‚error_description‘-Parameters. Der Parameter wird vom Stripe Checkout Session-Prozess verarbeitet und ohne adäquate Validierung in das DOM zurĂĽckgeschrieben. Dadurch können Angreifer ĂĽber manipulierte URLs XSS-Payloads injizieren.
Der Angriffsvektor ist netzwerkbasiert (Network). Ein typisches Angriffsszenario umfasst das Versenden einer präparierten URL an potenzielle Opfer, die diese anklicken. Die injektierten Skripte werden dann im Kontext des Opfers mit dessen Berechtigungen ausgeführt, ermöglichend Session-Hijacking, Cookie-Diebstahl oder weitere Malware-Infektionen.
Empfohlene Massnahmen
Sofortmassnahmen: ĂśberprĂĽfen Sie alle WordPress-Installationen auf das Forminator-Plugin. Falls vorhanden, prĂĽfen Sie die Versionsnummer (max. 1.57.0 betroffen). Deaktivieren Sie das Plugin vorĂĽbergehend, bis ein Security-Patch verfĂĽgbar ist.
Längerfristig: Implementieren Sie Content Security Policy (CSP)-Header, um XSS-Attacken zu mitigieren. Nutzen Sie Web Application Firewalls (WAF) zum Filtern verdächtiger ‚error_description‘-Parameter.
Bewertung
Mit einem CVSS-Score von 7.2 (High) besteht erhebliches Risiko. Die fehlende Patch-Verfügbarkeit verschärft die Situation. Die Kombination aus einfachem Angriffsvektor, Unauthentifizierung und breiter Plugin-Verbreitung macht diese CVE zu einer kritischen Sicherheitsbedrohung für betroffene WordPress-Umgebungen.
„`