🟠 CVE-2026-73384: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-73384 beschreibt eine kritische Schwachstelle in der WordPress-Erweiterung „Pay with Contact Form 7“ in den Versionen bis einschließlich 1.0.4. Die Vulnerability ermöglicht unauthentifizierten Angreifern den Zugriff auf sensible Daten ohne gültige Authentifizierungsinformationen. Mit einem CVSS-Score von 7.5 wird diese Schwachstelle als „High“ eingestuft und stellt ein erhebliches Sicherheitsrisiko dar.

Betroffene Systeme

Die Schwachstelle betrifft WordPress-Installationen mit folgenden Komponenten:

• Plugin: Pay with Contact Form 7 (Versionen ≤ 1.0.4)
• Abhängigkeit: Contact Form 7 Plugin
• Anforderung: WordPress mit aktiviertem verwundbarem Plugin
• Scope: Alle Betriebssysteme und Webserver, auf denen WordPress läuft

Technische Details

Die Schwachstelle basiert auf unzureichender Zugriffskontrolle in API-Endpoints des Plugins. Angreifer können über direkten Netzwerkzugriff (Network Vector) auf Zahlungsdaten, Benutzerinformationen und Formulareinträge zugreifen. Die fehlende Authentifizierungsprüfung in kritischen Funktionen ermöglicht das Auslesen von:

• Persönliche Kundendaten (Name, Email, Adresse)
• Zahlungsinformationen und Transaktionsdetails
• Konfigurationsdaten des Plugins

Der Zugriff erfolgt über HTTP-Anfragen ohne erforderliche Berechtigungsprüfung.

Empfohlene Massnahmen

• Sofort: Plugin deaktivieren und deinstallieren, bis ein Patch verfügbar ist
• Zahlungsformulare durch alternative Lösungen ersetzen
• Prüfung der Server-Logs auf verdächtige Zugriffsmuster durchführen
• Betroffene Kunden benachrichtigen und ggf. Passwörter zurücksetzen lassen
• Web Application Firewall (WAF) mit entsprechenden Regeln konfigurieren
• Regelmäßige Sicherheits-Updates implementieren

Bewertung

CVSS v3.1 Score: 7.5 (High)

Die fehlende Patch-Verfügbarkeit erhöht das Risiko erheblich. Betroffene Administratoren sollten unmittelbar reagieren und das Plugin aus ihrer Produktivumgebung entfernen. Die Kombination aus Netzwerkverfügbarkeit und fehlender Authentifizierung macht diese Schwachstelle zu einer Priority-1-Bedrohung für E-Commerce-Systeme.

„`