WordPress Forminator Schwachstelle ermöglicht Remote Code Execution

Wordfence, ein WordPress-Sicherheitsunternehmen, hat Details zu einer kritischen Sicherheitslücke in Forminator Forms veröffentlicht, einem WordPress-Plugin mit mehr als 600.000 aktiven Installationen. WordPress ist eine beliebte Website-Plattform, und ein Plugin ist ein Software-Add-on, das die Funktionalität einer Website erweitert. Die Schwachstelle wird als CVE-2026-15748 geführt und hat einen CVSS-Schweregrad von 9,8 von 10,0, wobei CVSS ein Standard-Bewertungssystem ist, mit dem bewertet wird, wie schwerwiegend eine Schwachstelle ist. Sie wurde von einem Sicherheitsforscher mit dem Online-Alias 'daroo' entdeckt und gemeldet. Laut Wordfence ermöglicht die Schwachstelle einem nicht authentifizierten Angreifer, also jemandem ohne Login-Konto, beliebige Dateien hochzuladen, einschließlich ausführbarer PHP-Dateien. PHP ist eine Skriptsprache, mit der viele WordPress-Seiten erstellt und betrieben werden. Dies kann zu WordPress Remote Code Execution führen, was bedeutet, dass der Angreifer eigene Befehle auf dem Server ausführen und die vollständige Kontrolle über die Website übernehmen kann.

Für einen erfolgreichen Angriff muss die Zielseite ein Formular enthalten, das sowohl ein File Upload-Feld als auch ein Select-Feld enthält. Ein File Upload-Feld ermöglicht Besuchern, eine Datei an ein eingereichtes Formular anzuhängen, und ein Select-Feld ist eine Dropdown-Liste, aus der ein Besucher eine Option auswählt. Die Schwachstelle betrifft alle Versionen des Plugins vor und einschließlich Version 1.56.1. Sie wurde in Version 1.56.2 behoben, die am 31. Juli 2026 veröffentlicht wurde. Website-Betreiber, die das Plugin verwenden, sollten so schnell wie möglich aktualisieren.

Die Schwachstelle ist ein Fall einer Datei-Upload-Schwachstelle, die in einem Teil des Plugins liegt, der hochgeladene Dateien verarbeitet und handle_file_upload() heißt. Wordfence erklärt, dass die Funktion den vom Benutzer angegebenen Dateityp nicht ausreichend validiert. Ein Angreifer kann ein speziell gestaltetes Formular einreichen, das eine bösartige PHP-Datei hochlädt, und dann diese Datei anfordern, damit der Webserver sie ausführt. Der Bericht stellt fest, dass die Blockliste für gefährliche Erweiterungen einen exakten Schlüsselabgleich durchführt, der durch Pipe-Alternative-MIME-Typ-Schlüssel umgangen wird. Ein MIME-Typ ist eine Bezeichnung, die Software mitteilt, um welche Art von Datei es sich handelt, und ein Pipe-Alternative-Schlüssel ist eine Bezeichnung, die einen senkrechten Strich mit einem alternativen Typ enthält, den der exakte Schlüsselabgleich nicht erfasst. Der öffentliche Submission-Handler vertraut auch auf eine vom Angreifer kontrollierte Upload-Feld-Konfiguration, die durch einen gefälschten Select-Feldwert eingeschleust wird. Diese Kombination ermöglicht es einem nicht authentifizierten Angreifer, ausführbaren Code auf dem Server zu platzieren.

Es gibt eine wichtige Nuance bezüglich des Speicherorts hochgeladener Dateien. In der Standardkonfiguration werden Dateien in ein Verzeichnis hochgeladen, das durch eine .htaccess-Datei geschützt ist, eine Serverkonfigurationsdatei, die die Ausführung von PHP-Code verhindert. Wenn jedoch ein Site-Administrator ein benutzerdefiniertes Upload-Speicher-Stammverzeichnis konfiguriert hat, verfügt dieses Verzeichnis möglicherweise nicht über denselben Schutz. Wordfence merkt an, dass die .htaccess-Datei nur dann erstellt wird, wenn sie zum ersten Mal benötigt wird, während einer Frontend-Anfrage, bei der der für das Schreiben verantwortliche WordPress-Helfer nicht geladen ist. Infolgedessen kann allein das Anfordern der hochgeladenen Datei ausreichen, damit der Webserver den vom Angreifer kontrollierten PHP-Code ausführt.

Die Forminator-Offenlegung erfolgt wenige Tage, nachdem Wordfence auch auf einen separaten kritischen Authentifizierungs-Bypass-Fehler in User Profile Builder hingewiesen hat, einem weiteren WordPress-Plugin mit mehr als 40.000 aktiven Installationen. Diese Schwachstelle wird als CVE-2026-15826 geführt und hat ebenfalls einen CVSS-Score von 9,8. Sie wurde am 16. Juli 2026 mit der Veröffentlichung von Version 3.16.5 gepatcht. Alle früheren Versionen sind betroffen, aber sie ist nur auf Websites ausnutzbar, bei denen die Einstellung „Automatisch anmelden“ des Plugins aktiviert ist. Die Schwachstelle betrifft die Funktion wppb_log_in_user(), die absint() auf den Rückgabewert von wp_insert_user() aufruft, bevor mit is_wp_error() geprüft wird, ob ein Fehler aufgetreten ist. Hierbei ist wp_insert_user() eine WordPress-Funktion, die ein neues Benutzerkonto erstellt, is_wp_error() prüft, ob ein Fehlerobjekt zurückgegeben wurde, und absint() wandelt einen Wert in eine absolute Ganzzahl um. Wenn eine Registrierung mit einem Benutzernamen eingereicht wird, der 61 bis 70 Zeichen lang ist, lehnt der WordPress-Kern sie mit einem Fehlerobjekt ab, aber absint() wandelt dieses Objekt in die Ganzzahl 1 um, bevor die Fehlerprüfung den Prozess stoppen kann. Dies veranlasst das Plugin, einen transient-gestützten Autologin-Nonce zu binden und zurückzugeben, der an Benutzer-ID 1 gebunden ist, normalerweise das erste und mächtigste Admin-Konto auf einer WordPress-Seite. Ein Nonce ist ein Einmal-Token, das verwendet wird, um die Legitimität einer Anfrage zu belegen. Ein nicht authentifizierter Angreifer kann sich dann als dieser Administrator anmelden und die Website übernehmen.

Website-Betreiber, die eines der beiden Plugins verwenden, werden gebeten, die Updates so schnell wie möglich anzuwenden und sicherzustellen, dass ihre Installationen auf dem neuesten Stand sind. Für WordPress-Website-Betreiber, die Managed Hosting bevorzugen, das durchgängig abgesichert ist, bietet AEU Hosting Managed WordPress Hosting an, das durchgängig abgesichert ist und schnelle Plugin-Updates ergänzen kann. Wenn Sie eine WordPress-Seite betreiben, überprüfen Sie Ihre installierten Plugins und aktualisieren Sie Forminator Forms mindestens auf Version 1.56.2 und User Profile Builder mindestens auf Version 3.16.5, falls Sie diese verwenden.