Zwei kritische Schwachstellen in WordPress-Plugins können zur vollständigen Übernahme von Websites führen

Forminator ermöglicht das unauthentifizierte Hochladen von PHP-Dateien

In weit verbreiteten WordPress-Plugins wurden zwei kritische Sicherheitslücken gemeldet. Die erste betrifft Forminator Forms, das auf mehr als 600.000 Websites installiert ist, und trägt die Kennung CVE-2026-15748.

Die Schwachstelle hat einen CVSS-Score von 9,8/10,0 und betrifft alle Versionen bis einschließlich 1.56.1. Sie wurde mit Version 1.56.2 behoben, die am 31. Juli 2026 veröffentlicht wurde.

Die von einem unter dem Namen „daroo“ bekannten Forscher entdeckte Lücke ermöglicht es nicht authentifizierten Angreifern, über ein öffentlich zugängliches Formular beliebige Dateien hochzuladen. Dazu können auch PHP-Skripte gehören, wodurch eine Remote-Code-Ausführung möglich wird.

Dafür muss die Website jedoch ein Formular mit einer bestimmten Kombination enthalten:

• ein Feld File Upload;
• ein Feld Select.

Fehlen diese beiden Elemente, ist der beschriebene Angriffsweg nicht anwendbar.

Umgehung der Upload-Validierung

Der Fehler befindet sich in der Funktion handle_file_upload(), die für den Datei-Upload zuständig ist. Die Dateitypprüfung validiert nicht alle vom Benutzer übermittelten Werte ausreichend robust.

Die Sperre gefährlicher Dateiendungen verwendet eine exakte Übereinstimmung der Schlüssel. Ein Angreifer kann diese Prüfung umgehen, indem er alternative, durch Pipes getrennte MIME-Schlüssel übermittelt und das Plugin dadurch zur Annahme einer Datei bringt, die eigentlich abgelehnt werden müsste.

Der öffentliche Formular-Handler stützt sich außerdem auf die Konfiguration des Upload-Feldes. Diese Konfiguration kann über einen manipulierten Select-Wert verändert werden, ohne dass ein Benutzerkonto erforderlich ist.

In der Praxis kann der Angreifer das verwundbare Formular absenden und eine speziell erstellte PHP-Datei auf dem Server ablegen. Wird diese vom Server als Code interpretiert, kann der Angreifer Befehle mit den Berechtigungen des Webprozesses ausführen, Inhalte verändern, die Konfiguration manipulieren oder neue Administratorkonten anlegen.

Die Standardkonfiguration bietet einen teilweisen Schutz: Dateien werden normalerweise in einem Verzeichnis mit einer .htaccess-Datei abgelegt, die die Ausführung von PHP verhindert. Das Risiko steigt, wenn der Administrator ein benutzerdefiniertes Stammverzeichnis für den Upload-Speicher festlegt.

In diesem Szenario wird die .htaccess-Datei möglicherweise nicht korrekt erstellt. Das für das Schreiben der Datei benötigte WordPress-Hilfsmodul ist zum Zeitpunkt der Anfrageverarbeitung nicht verfügbar. Eine anschließende direkte Anfrage an die hochgeladene Datei kann den Webserver daher dazu bringen, den vom Angreifer kontrollierten PHP-Code auszuführen.

User Profile Builder ermöglicht die Anmeldung als Benutzer 1

Die zweite Schwachstelle betrifft User Profile Builder, das auf mehr als 40.000 Installationen eingesetzt wird, und trägt die Kennung CVE-2026-15826.

Die Lücke hat einen CVSS-Score von 9,8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Sie wurde mit Version 3.16.5 behoben, die am 16. Juli 2026 veröffentlicht wurde.

Die Angaben zu den betroffenen Versionen sind nicht vollständig einheitlich: Eine Beschreibung nennt alle vorherigen Versionen, während der verfügbare NVD-Eintrag Versionen bis einschließlich 3.16.4 als verwundbar ausweist. In beiden Fällen gilt als praktische Maßnahme die Aktualisierung auf 3.16.5.

Es handelt sich um einen Authentication Bypass durch Type Confusion in der Funktion wppb_log_in_user().

Die Rolle langer Benutzernamen und von absint()

Der Exploit setzt die Registrierung eines Benutzernamens mit einer Länge zwischen 61 und 70 Zeichen voraus. WordPress lehnt die Registrierung ab und gibt ein WP_Error-Objekt zurück.

Das Plugin wendet jedoch zunächst absint() auf das Ergebnis von wp_insert_user() an und prüft erst danach, ob es sich bei diesem Ergebnis um einen Fehler handelt. Durch die Konvertierung wird das Objekt in die Ganzzahl 1 umgewandelt, wodurch die Prüfung mit is_wp_error() den Ablauf nicht mehr ordnungsgemäß unterbrechen kann.

Das Plugin verknüpft die Anfrage dadurch mit einem über ein Transient gespeicherten Autologin-Nonce, der dem Benutzer mit der ID 1 zugeordnet ist. In einer standardmäßigen WordPress-Konfiguration entspricht dieser Benutzer normalerweise dem Hauptadministrator.

Voraussetzung ist, dass im Plugin die Einstellung Automatically Log In aktiviert ist. Unter dieser Bedingung kann ein nicht authentifizierter Angreifer als Benutzer 1 auf die Website zugreifen und den normalen Authentifizierungsprozess umgehen.

Zu den möglichen Auswirkungen gehören vollständiger Administratorzugriff, Änderungen an der Website, die Installation von Code, die Manipulation von Benutzerkonten und die vollständige Übernahme der WordPress-Installation.

Was Administratoren tun sollten

Die wichtigste Maßnahme besteht darin, beide Plugins zu aktualisieren:

• Forminator Forms auf Version 1.56.2 oder höher;
• User Profile Builder auf Version 3.16.5 oder höher.

Nach der Aktualisierung sollte geprüft werden, ob veraltete Kopien, Testinstallationen oder andere aus dem Internet erreichbare Umgebungen vorhanden sind.

Bei Forminator sollten Formulare erfasst werden, die File Upload- und Select-Felder kombinieren. Anschließend sollte die Einstellung Custom File Upload Storage root überprüft werden. Außerdem empfiehlt sich eine Kontrolle der zuletzt hochgeladenen Dateien, insbesondere auf unerwartete PHP-Dateien, ungewöhnliche Dateiendungen und Webanfragen, die direkt an Upload-Verzeichnisse gerichtet sind.

Die Protokolle können dabei helfen, Folgendes zu erkennen:

• POST-Anfragen an öffentliche Formulare;
• Uploads von PHP-Dateien oder Dateien mit doppelten Endungen;
• nachfolgende Zugriffe auf kürzlich hochgeladene Dateien;
• ungewöhnliche Anfragen an benutzerdefinierte Speicherverzeichnisse.

Bei User Profile Builder sollte der Status von Automatically Log In überprüft und die Option deaktiviert bleiben, sofern sie nicht zwingend erforderlich ist. Administratoren sollten außerdem neue Konten, Profiländerungen, Anmeldungen des Benutzers mit der ID 1, verdächtige Nonces sowie kürzlich vorgenommene Änderungen an Plugins, Themes und Konfigurationen kontrollieren.

Für CVE-2026-15826 liegen in den geprüften Daten keine Informationen vor, die eine Aufnahme in den CISA-KEV-Katalog bestätigen. Es sind weder ein Aufnahmedatum noch eine Frist verfügbar. Auch für CVE-2026-15748 liegen kein KEV-Status, kein offizieller NVD-CVSS-Vektor und keine weiteren NVD-Metadaten vor.

Die beiden Schwachstellen wurden am 17. August 2026 entdeckt. Beide lassen sich ohne Authentifizierung ausnutzen und können bei Vorliegen der jeweiligen Voraussetzungen zur vollständigen Kompromittierung der Website führen.