CVE-2026-14894
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
5.1%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-14894 betrifft das WordPress-Plugin „Super Forms – Drag & Drop Form Builder“ in allen Versionen bis einschließlich 6.3.313. Es handelt sich um eine Arbitrary File Upload-Schwachstelle in der Funktion submit_form, die durch fehlende Dateitypvalidierung und eine fehlende Berechtigungsprüfung verursacht wird. Dies ermöglicht es nicht authentifizierten Angreifern, ausführbare Dateien hochzuladen, was zu Remote Code Execution (RCE) führen kann.
Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 3%, was auf eine geringe, aber vorhandene Exploit-Aktivität hindeutet. Da die Schwachstelle nicht in CISA KEV gelistet ist, gibt es derzeit keine Hinweise auf eine aktive, weit verbreitete Ausnutzung durch staatlich unterstützte Akteure.
Security-Teams sollten umgehend prüfen, ob das betroffene Plugin „Super Forms – Drag & Drop Form Builder“ in ihren WordPress-Installationen verwendet wird. Eine Aktualisierung auf eine gepatchte Version ist dringend erforderlich, sobald diese verfügbar ist. Bis dahin sollten, falls möglich, temporäre Mitigationen wie das Blockieren des Zugriffs auf die betroffenen AJAX-Endpunkte oder das Deaktivieren des Plugins in Betracht gezogen werden, um das Risiko zu minimieren.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 6.3.313 via the submit_form function. This is due to missing file type validation and the absence of any capability check on the submit_form nopriv AJAX handler, whose only barrier is a session nonce freely obtainable by unauthenticated visitors via a separate nopriv endpoint. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. The nonce requirement is trivially bypassed because the super_create_nonce nopriv AJAX action allows any unauthenticated visitor to mint a valid sf_nonce and session cookie in a single prior request, reducing exploitation to two unauthenticated HTTP requests.