LONDON (IT BOLTWISE) – In Forminator Forms wurde eine kritisch bewertete Lücke (CVE-2026-15748, CVSS 9,8/10) entdeckt, die unauthentifizierten Angreifern das Hochladen von Dateien bis hin zu ausführbarem PHP ermöglichen kann. Die Schwachstelle betrifft alle Versionen bis einschließlich 1.56.1 und ist mit 1.56.2 seit dem 31. Juli 2026 geschlossen. Zusätzlich zeigt ein zweites Problem (CVE-2026-15826, CVSS 9,8/10) im Plugin User Profile Builder, wie sich die automatische Anmeldung für User-ID 1 missbrauchen lässt. Betroffene sollten beide Plugins zeitnah aktualisieren und die Einstellungen ihrer Formulare sowie Login-Optionen prüfen.
Für Betreiber von WordPress-Seiten wird es in diesen Tagen besonders ungemütlich: Gleich zwei kritische Schwachstellen in beliebten Plugins zielen auf Grundfesten moderner Webanwendungen—Datei-Handling und Authentifizierung. Den Ausgangspunkt bildet Forminator Forms, ein Plugin mit mehr als 600.000 aktiven Installationen, für das eine Sicherheitslücke mit der Kennung CVE-2026-15748 veröffentlicht wurde. Laut CVSS-Bewertung erreicht das Problem 9,8 von 10,0 und kann auf anfälligen Systemen zu arbiträrer Dateiupload-Logik führen, inklusive der Möglichkeit, schädliche PHP-Dateien nachzuladen und damit eine vollständige Übernahme der betroffenen Site zu ermöglichen.
Technisch sitzt der Kernfehler in der Upload-Routine handle_file_upload(). Der entscheidende Punkt ist nicht nur, dass es um die Validierung von Dateitypen geht, sondern wie diese Validierung implementiert wurde: Die blocklist für gefährliche Dateiendungen arbeitet mit einem exakten Schlüsselvergleich, der sich durch alternative MIME-Typ-„Schlüssel“ umgehen lässt. Gleichzeitig wird ein öffentlicher Submit-Handler ausgenutzt, der Upload-Felder so behandelt, als käme die Konfiguration vertrauenswürdig vom System – tatsächlich kann sie jedoch über einen gefälschten Select-Wert so manipuliert werden, dass das Plugin den Upload in einer gefährlichen Konfiguration akzeptiert.
Damit ein Angriff wirklich gelingt, braucht es mehr als nur „das Plugin ist installiert“. Nach den vorliegenden Angaben ist eine Form erforderlich, die sowohl ein File Upload-Feld als auch ein Select-Feld enthält. Erst diese Kombination ermöglicht es, die für die Umgehung relevante Logik so anzusteuern, dass der Upload-Workflow in eine Ausführung mündet, die die beabsichtigten Schutzmechanismen aushebelt. Die Auswirkung ist dann nicht hypothetisch: Ein unauthentifizierter Angreifer soll in der Lage sein, eine speziell präparierte PHP-Datei hochzuladen, remote Code auf dem Server auszuführen und anschließend die Kontrolle über die Seite zu übernehmen.
In der Praxis lohnt sich für Administratoren zudem der Blick auf eine zweite, oft unterschätzte Schutzschicht: In der Standardkonfiguration werden hochgeladene Dateien in ein Verzeichnis geschrieben, das durch eine .htaccess-Datei so abgesichert wird, dass PHP-Ausführung verhindert wird. Diese Absicherung greift jedoch nicht immer – insbesondere dann, wenn ein Administrator einen Custom File Upload Storage root eingerichtet hat. Laut Beschreibung entsteht die entscheidende.htaccess-Datei in diesem Fall erst „bei Bedarf“ im Rahmen einer Frontend-Anfrage, wobei der WordPress-Helfer, der das.htaccess-Handling übernimmt, in diesem Pfad offenbar nicht geladen wird. Das Ergebnis: Bereits das Anfordern der hochgeladenen Datei kann ausreichen, damit der Webserver den eingeschleusten PHP-Code ausführt.
Nur wenige Tage nach dieser Veröffentlichung kommt ein weiteres Alarmzeichen aus dem Bereich Authentifizierung: Im Plugin User Profile Builder wurde eine Authentifizierungsumgehung identifiziert, referenziert als CVE-2026-15826 (ebenfalls CVSS 9,8). Das Problem betrifft mehr als 40.000 aktive Installationen und erlaubt unauthentifizierten Angreifern, sich als Benutzer mit der ID 1 anzumelden – typischerweise das Administrator-Konto. Entscheidend ist dabei die Voraussetzung, dass in den Plugin-Einstellungen die Option Automatically Log In aktiviert ist; ohne diese konkrete Konfiguration soll die Lücke nicht ausnutzbar sein.
Die Ursache wird in einer spezifischen Reihenfolge von Typumwandlung und Fehlerprüfung beschrieben. Konkret ruft die Funktion wppb_log_in_user() zunächst absint() auf dem Rückgabewert von wp_insert_user() auf, bevor geprüft wird, ob der Wert ein WP_Error-Objekt ist. WordPress lehnt eine Registrierung mit einem 61- bis 70-Zeichen-Username ab und liefert dabei ein WP_Error zurück. Durch das vorzeitige coercionen wird das Fehlerobjekt jedoch zu der Ganzzahl 1 „umgebogen“, sodass der anschließende is_wp_error()-Check nicht mehr korrekt abbrechen kann. In der Folge soll das Plugin einen Autologin-Nonce zurückgeben, der mit User-ID 1 verknüpft ist – mit der Konsequenz, dass der Angreifer sich als Administrator anmelden und den kompletten Administrationszugriff erlangen kann.
Für die operative Sicherheit ergibt sich eine klare Priorisierung: Betreiber sollten Forminator Forms und User Profile Builder so schnell wie möglich aktualisieren. In den vorliegenden Angaben ist Forminator Forms mit Version 1.56.2 am 31. Juli 2026 gepatcht, während User Profile Builder mit Version 3.16.5 seit dem 16. Juli 2026 Abhilfe schafft. Daneben reicht „Update installiert“ allein oft nicht – die beschriebenen Voraussetzungen machen eine kurzfristige Verifikation sinnvoll: Existieren Formulare mit File Upload- und Select-Feldkombinationen? Ist die automatische Anmeldung im User Profile Builder aktiv? Gerade bei Webshops, Redaktionssystemen und internen Portalen, die häufig aus funktionalen Gründen genau solche Formular- und Login-Mechanismen nutzen, kann eine schnelle Prüfung die Zeit bis zur vollständigen Risikominderung deutlich verkürzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Forminator und User Profile Builder: kritische WordPress-RCE- und Auth-Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Forminator und User Profile Builder: kritische WordPress-RCE- und Auth-Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Forminator und User Profile Builder: kritische WordPress-RCE- und Auth-Lücken« bei Google Deutschland suchen, bei Bing oder Google News!