🔴 CVE-2026-15748: Critical Schwachstelle

„`html

Zusammenfassung

Die WordPress-Erweiterung „Forminator Forms“ bis einschließlich Version 1.56.1 ist anfällig für einen kritischen Arbitrary File Upload-Fehler (CVE-2026-15748). Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, ausführbare Dateien hochzuladen und potenziell Remote Code Execution (RCE) zu erlangen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Vulnerabilität.

Betroffene Systeme

Betroffen sind alle WordPress-Installationen mit aktiviertem Forminator Forms Plugin in den Versionen bis 1.56.1. Da das Plugin in der offiziellen WordPress-Plugin-Repository verfügbar ist, kann eine große Anzahl von Websites betroffen sein. WordPress-Systeme ohne aktualisierte Plugin-Version sind unmittelbar gefährdet.

Technische Details

Die Vulnerabilität liegt in der Funktion handle_file_upload. Die Sicherheitsüberprüfung basiert auf einer Blocklist mit gefährlichen Dateitypen, die jedoch über exakte Key-Matching-Mechanismen arbeitet. Angreifer können diese Validierung durch Pipe-alternative MIME-Type-Keys umgehen (z.B. durch mehrfache MIME-Type-Definitionen).

Der öffentlich zugängliche Submission-Handler vertraut dabei auf das Upload-Feld-Konfiguration, welche über manipulierte Select-Feld-Werte injiziert werden kann. Dies ermöglicht es Angreifern, die Dateityp-Validierung zu umgehen und beliebige ausführbare Dateien (z.B. .php, .exe) hochzuladen. Eine Authentifizierung ist nicht erforderlich.

Empfohlene Massnahmen

Sofortmassnahmen:

• Forminator Forms Plugin deaktivieren und deinstallieren, solange kein Patch verfügbar ist
• Hochgeladene Dateien überprüfen auf verdächtige ausführbare Inhalte
• Server-Logs analysieren auf File-Upload-Aktivitäten
• Web Application Firewall (WAF) konfigurieren zur Blockierung verdächtiger Uploads

Langfristig: Auf ein alternatives, sichereres Formular-Plugin wechseln oder auf ein Sicherheits-Patch warten.

Bewertung

Mit einem CVSS-Score von 9.8 (Critical) handelt es sich um eine hochgradig kritische Sicherheitslücke mit sofortigem Handlungsbedarf. Die Kombination aus fehlender Authentifizierung und RCE-Möglichkeit macht diese Schwachstelle zu einer priorisierten Bedrohung für alle betroffenen WordPress-Systeme.

„`