WordPress-Plug-in Forminator Forms: Kritische Lücke erlaubt Codeschmuggel
IT-Forscher haben in mehreren populären WordPress-Plug-ins teils kritische Schwachstellen entdeckt. Sie erlauben Angreifern etwa, Schadcode einzuschleusen und auszuführen. Betroffen sind die WordPress-Zusätze Forminator Forms und Royal Elementor Addons. Weiterlesen nach der Anzeige Das IT-Sicherheitsunternehmen Wordfence warnt aktuell vor einer Schwachstelle in Forminator Forms bis einschließlich Version 1.56.1, die nicht authentifizierten Akteuren das Hochladen beliebiger Dateien ermöglicht. In einem Eingabefeld findet keine ausreichende Prüfung des Dateityps statt und eine Blockliste gefährlicher Erweiterungen lässt sich durch geschickte Nutzung von MIME-Types umgehen. Die hochgeladenen Dateien können ausführbar sein, wodurch das Einschleusen und Ausführen von Schadcode möglich wird (CVE-2026-15748, CVSS 9.8, Risiko „kritisch“). Die Erweiterung kommt auf mehr als 600.000 aktive Installationen, führt Wordfence aus. IT-Verantwortliche sollten sicherstellen, dass die fehlerbereinigte Fassung 1.56.2 oder neuere von Forminator Forms zum Einsatz kommt. Weiteres verbreitetes Plug-in verwundbar Außerdem haben die IT-Forscher von Wordfence auch in den Royal Elementor Addons zwei Schwachstellen ausgemacht. Die kommen laut WordPress-Plug-in-Seite ebenfalls auf mehr als 600.000 aktive Installationen. Angreifer mit mindestens „Contributor“-Zugriff können darin eine Server-Side-Request-Forgery-Lücke missbrauchen und dadurch etwa eigentlich nicht zugängliche interne Systeme erreichen, erörtern die IT-Forscher in ihrer Analyse (CVE-2026-17123, CVSS 8.8, Risiko „hoch“). Außerdem können User mit Contributor-Rechten oder höheren eine Cross-Site-Scripting-Lücke missbrauchen und dadurch beliebige Web-Skripte in Seiten einschleusen, die beim Aufruf dann ausgeführt werden (CVE-2026-19217, CVSS 6.4, Risiko „mittel“). Die Version 1.7.1066 der Royal Elementor Addons steht aktuell bereit und enthält die Schwachstellen nicht mehr. Admins sollten prüfen, ob der aktuelle Stand bereits vorliegt, und gegebenenfalls zügig die Aktualisierung vornehmen.