„`html
Zusammenfassung
Das WordPress-Plugin „Forminator Forms“ in den Versionen bis einschließlich 1.57.0.2 weist eine kritische Sicherheitslücke auf. Die Vulnerability CVE-2026-18323 ermöglicht unauthentifizierten Angreifern die Einschleusung und Speicherung von schädlichen JavaScript-Code durch das Radio-Button-Feld in der „Save and Continue“-Funktion. Der injizierte Code wird beim Zugriff auf die Submissions-Verwaltungsseite automatisch ausgeführt.
Betroffene Systeme
Betroffen sind alle WordPress-Installationen mit dem Forminator Forms Plugin, Version 1.57.0.2 und älter. Das Plugin wird von verschiedenen Organisationen zur Erstellung von Kontaktformularen, Zahlungsformularen und benutzerdefinierten Formularen eingesetzt.
Technische Details
Die Schwachstelle resultiert aus mangelnder Input-Validierung und unzureichendem Output-Escaping bei der Verarbeitung von Radio-Button-Feldern. Der AJAX-Endpunkt für „Save-and-Continue“-Entwürfe ist als nopriv registriert, wodurch unauthentifizierte Zugriffe möglich sind. Angreifer können die Validierung der Radio-Optionen umgehen und persistente XSS-Payloads injizieren. Diese werden über die gebündelte Inputmask-Bibliothek automatisch ausgeführt, wenn Administratoren die Submissions-Seite aufrufen. Der Schweregrad wird mit 7.2 (CVSS) eingestuft.
Empfohlene Massnahmen
- Sofortiges Update des Forminator-Plugins auf eine gepatchte Version durchführen
- Bestehende Formulare auf verdächtige Einträge überprüfen
- Web Application Firewall (WAF) aktivieren zur Filterung verdächtiger Eingaben
- Admin-Zugriffe beschränken und Zwei-Faktor-Authentifizierung implementieren
- Regelmäßige Sicherheits-Audits durchführen
- Browser-Erweiterungen nutzen, um XSS-Attacken zu detektieren
Bewertung
Die Vulnerability stellt eine erhebliche Bedrohung dar. Durch die Ausnutzbarkeit ohne Authentifizierung und die persistente Speicherung des Schadcodes können Administratorkonten kompromittiert werden. Eine zeitnahe Behebung ist zwingend erforderlich.
„`