Kritische Sicherheitslücke in WordPress-Plugin Ultra Addons for Contact Form 7 (CVE-2026-82901)

Was ist passiert?

Eine kritische Sicherheitslücke (CVE-2026-82901) wurde im WordPress-Plugin 'Ultra Addons for Contact Form 7' entdeckt. Diese ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server der betroffenen Website hochzuladen. Dies ist auf eine unzureichende Überprüfung der Dateitypen zurückzuführen und kann zur Ausführung von eigenem Code auf dem Server führen. Die Schwachstelle betrifft alle Versionen bis einschliesslich 3.5.50 und ist nur ausnutzbar, wenn das standardmässig deaktivierte PDF Generator Modul des Plugins aktiviert ist.

Wer ist betroffen?

Betroffen sind alle WordPress-Websites, die das Plugin 'Ultra Addons for Contact Form 7' in Versionen bis einschliesslich 3.5.50 nutzen. Eine tatsächliche Ausnutzung der Schwachstelle ist jedoch nur möglich, wenn das 'PDF Generator'-Modul des Plugins aktiviert ist. Dieses Modul ist standardmässig deaktiviert.

Wie kritisch ist es?

Die Sicherheitslücke wird mit einem CVSS-Score von 9.8 als 'kritisch' eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS) liegt bei 4 %. Aktuell ist die Schwachstelle nicht im CISA KEV-Katalog gelistet.

Was ist jetzt zu tun?

Prüfen Sie umgehend, ob das Plugin 'Ultra Addons for Contact Form 7' auf Ihrer WordPress-Website installiert ist und welche Version Sie nutzen. Sollten Sie eine Version bis einschliesslich 3.5.50 verwenden, deaktivieren Sie das 'PDF Generator'-Modul, falls es aktiviert ist. Dazu liegen derzeit keine gesicherten Angaben vor, ob eine aktualisierte Version des Plugins verfügbar ist, die diese Lücke schliesst. Erwägen Sie bis zur Bereitstellung eines Patches die Deaktivierung oder Deinstallation des Plugins, falls dessen Funktionen nicht zwingend benötigt werden.

Quellen: NVD (CVE-2026-82901), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.