CVE-2026-15748: Kritische File-Upload-Lücke in Forminator Forms

Im Plugin Forminator Forms für WordPress wurde eine kritische Schwachstelle bei der beliebigen Dateiupload-Funktion entdeckt, die es einem nicht authentifizierten Angreifer ermöglicht, eine bösartige PHP-Datei auf den Server hochzuladen und so eine Remote Code Execution zu erreichen. Die Schwachstelle wird unter CVE-2026-15748 geführt und mit einem CVSS-Score von 9,8 von 10 bewertet. Das Plugin ist auf mehr als 600.000 Websites installiert, und laut Statistik von WordPress.org läuft etwa die Hälfte davon – rund 300.000 Instanzen – weiterhin mit verwundbaren Versionen. Der Fix steht in Version 1.56.2 zur Verfügung, Administratoren sollten umgehend aktualisieren.

Technische Details der Schwachstelle

Nach Angaben der Analyse von Wordfence wurde die Schwachstelle von einem Forscher mit dem Pseudonym daroo entdeckt und betrifft alle Versionen von Forminator Forms bis einschließlich 1.56.1. Die Ursache des Problems liegt in der Funktion handle_file_upload(), die die Typen hochgeladener Dateien nicht streng genug validiert.

Der beschriebene Mechanismus zur Umgehung der Schutzmaßnahmen beruht auf zwei Schwachpunkten:

• Umgehung der Blacklist für Dateierweiterungen. Die Filterung gefährlicher Dateierweiterungen stützt sich auf eine exakte Übereinstimmung der Schlüssel. In MIME-Typ-Einträgen können alternative Werte jedoch mit dem Zeichen „|“ getrennt werden, was es ermöglicht, die Prüfung zu umgehen und eine Datei mit ausführbarer Erweiterung hochzuladen.
• Manipulation von Formularparametern. Der öffentliche Handler für Formularübermittlungen vertraut auf die Einstellungen der Upload-Felder, die vom Client kommen. Ein Angreifer kann den Wert eines Select-Feldes fälschen und eigene Parameter für das File-Upload-Feld übergeben, sodass der Server eine beliebige Datei akzeptiert.

Eine erfolgreiche Ausnutzung kann zur Installation einer Web-Shell, zur Ausführung beliebiger Befehle auf dem Server und zur vollständigen Kompromittierung der Website führen.

Bedingungen für die Ausnutzung und mildernde Faktoren

Trotz der kritischen CVSS-Bewertung hängt die tatsächliche Ausnutzbarkeit von der Konfiguration der jeweiligen Website ab. Für einen erfolgreichen Angriff müssen mehrere Bedingungen erfüllt sein:

• Auf der Zielseite muss ein Formular existieren, das gleichzeitig die Felder File Upload und Select enthält. Formulare ohne diese Kombination von Feldern sind nicht angreifbar.
• Standardmäßig werden hochgeladene Dateien in ein Verzeichnis geschrieben, das durch eine .htaccess-Datei geschützt ist, welche die Ausführung von PHP-Skripten blockiert. Dies reduziert das Risiko bei einer Standardkonfiguration erheblich.

Die Gefahr steigt jedoch deutlich, wenn der Administrator über die Funktion Custom File Upload Storage ein benutzerdefiniertes Verzeichnis für Uploads konfiguriert hat. Nach Angaben der Forscher wird in einem solchen Verzeichnis möglicherweise keine schützende .htaccess-Datei erstellt, da der entsprechende Mechanismus von WordPress bei der ersten Anfrage vom Frontend aus nicht verfügbar ist. In diesem Szenario reicht es für den Angreifer aus, die hochgeladene PHP-Datei direkt über ihre URL aufzurufen, woraufhin der Webserver den schädlichen Code ausführt.

Zum Zeitpunkt der Veröffentlichung ist der Status aktiver Ausnutzung der Schwachstelle nicht bestätigt – CVE-2026-15748 ist nicht im CISA-KEV-Katalog aufgeführt, und Informationen über den Einsatz in realen Angriffen liegen nicht vor. Dennoch machen die einfache Ausnutzbarkeit und die weite Verbreitung des Plugins das Auftauchen von Exploits zu einer Frage der Zeit.

Bewertung der Auswirkungen

Forminator Forms gehört zu den beliebtesten Formular-Buildern für WordPress und wird auf Websites unterschiedlichster Art eingesetzt – von Unternehmensportalen über Online-Shops bis hin zu Bildungsplattformen. Das höchste Risiko besteht für Seiten, auf denen:

• Formulare Dateiuploads von nicht authentifizierten Nutzern akzeptieren;
• ein benutzerdefiniertes Upload-Verzeichnis konfiguriert ist;
• keine zusätzliche Absicherung auf Webserver-Ebene vorhanden ist (z. B. Nginx-Regeln, die die Ausführung von PHP in Upload-Verzeichnissen verbieten).

Eine Kompromittierung über das Hochladen einer Web-Shell verschafft dem Angreifer die vollständige Kontrolle über den Server, was zu Datendiebstahl, Defacement, Spamversand, der Bereitstellung von Malware für Website-Besucher und zur Nutzung des Servers als Ausgangspunkt für weitere Angriffe führen kann.

Empfehlungen

1. Aktualisieren Sie Forminator Forms umgehend auf Version 1.56.2 oder höher. Der Patch wurde am 31. Juli 2026 veröffentlicht und steht über den Standard-Aktualisierungsmechanismus von WordPress zur Verfügung.
2. Überprüfen Sie die Konfiguration des Upload-Speichers. Wenn Custom File Upload Storage verwendet wird, stellen Sie sicher, dass sich im Verzeichnis eine .htaccess-Datei (oder eine vergleichbare Konfiguration für Nginx) befindet, die die Ausführung von PHP-Skripten verbietet.
3. Führen Sie ein Audit der hochgeladenen Dateien durch. Untersuchen Sie die Upload-Verzeichnisse auf verdächtige PHP-Dateien, insbesondere wenn Formulare mit den Feldern File Upload und Select in dem Zeitraum, in dem verwundbare Versionen im Einsatz waren, öffentlich zugänglich waren.
4. Beschränken Sie die zulässigen Dateitypen auf Webserver-Ebene, unabhängig von der Logik des Plugins – dies sorgt für Defense-in-Depth.
5. Ziehen Sie den Einsatz eines WAF mit Regeln in Betracht, die das Hochladen von Dateien mit ausführbaren Erweiterungen über Formulare blockieren.

Angesichts der Tatsache, dass vermutlich mehr als 300.000 Websites ungepatcht sind und für die Ausnutzung keine Authentifizierung erforderlich ist, sollte das Update auf Forminator Forms 1.56.2 für jeden WordPress-Administrator, der dieses Plugin verwendet, höchste Priorität haben. Parallel zum Update empfiehlt es sich, die Upload-Verzeichnisse auf ungewöhnliche PHP-Dateien zu prüfen – so lässt sich eine mögliche Kompromittierung erkennen, die vor der Installation des Patches erfolgt ist.