Kritische Sicherheitslücke in WordPress-Plugin Forminator Forms entdeckt (CVE-2026-15748)
Im WordPress-Plugin Forminator Forms wurde eine kritische Sicherheitslücke (CVE-2026-15748) entdeckt. Diese ermöglicht es Angreifern, beliebige Dateien auf den Server hochzuladen, selbst wenn sie nicht angemeldet sind (Arbitrary File Upload).
Was ist passiert?
Im WordPress-Plugin Forminator Forms wurde eine kritische Sicherheitslücke (CVE-2026-15748) entdeckt. Diese ermöglicht es Angreifern, beliebige Dateien auf den Server hochzuladen, selbst wenn sie nicht angemeldet sind (Arbitrary File Upload). Ursache ist eine unzureichende Überprüfung der Dateitypen, die es erlaubt, die Sicherheitsmechanismen zu umgehen. Dadurch können Angreifer potenziell ausführbare Dateien hochladen und eigenen Code auf dem Server ausführen (Remote Code Execution).
Wer ist betroffen?
Betroffen sind alle Nutzer des WordPress-Plugins Forminator Forms, die Versionen bis einschliesslich 1.56.1 einsetzen. Da die Schwachstelle von nicht authentifizierten Angreifern ausgenutzt werden kann, sind alle Installationen mit dem betroffenen Plugin potenziell gefährdet. Unternehmen, die dieses Plugin für Formulare auf ihrer WordPress-Website nutzen, sollten umgehend handeln.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'CRITICAL' eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit, dass diese Lücke innerhalb der nächsten 30 Tage aktiv ausgenutzt wird (EPSS), liegt bei 3 %. Obwohl die Schwachstelle derzeit nicht in der CISA KEV-Liste der aktiv ausgenutzten Schwachstellen geführt wird, ist das hohe Risikopotenzial nicht zu unterschätzen.
Was ist jetzt zu tun?
Prüfen Sie umgehend, welche Version des Forminator Forms Plugins auf Ihrer WordPress-Website installiert ist. Aktualisieren Sie das Plugin auf die neueste verfügbare Version, sobald ein Update bereitgestellt wird, das diese Schwachstelle behebt. Sollte derzeit kein Patch verfügbar sein, empfehlen wir, das Plugin vorübergehend zu deaktivieren oder zu deinstallieren, bis eine sichere Version vorliegt. Eine regelmässige Überprüfung Ihrer WordPress-Installationen auf Updates ist generell essenziell.
Quellen: NVD (CVE-2026-15748), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.