SecBoard
Zurück zur CVE-Übersicht

CVE-2026-15748

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score26/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

6.1%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-15748 betrifft das Forminator Forms Plugin für WordPress und ermöglicht einen beliebigen Datei-Upload. Ursache ist eine unzureichende Validierung des Dateityps in der Funktion handle_file_upload, die es nicht-authentifizierten Angreifern erlaubt, ausführbare Dateien hochzuladen. Dies kann potenziell zur Remotecodeausführung führen.

Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei 5% liegt und die Schwachstelle nicht im KEV-Katalog aufgeführt ist, deutet die Möglichkeit der Remotecodeausführung durch nicht-authentifizierte Angreifer auf ein hohes Risiko hin.

Security-Teams sollten umgehend prüfen, ob das Forminator Forms Plugin in ihrer WordPress-Umgebung eingesetzt wird. Eine Priorisierung der Aktualisierung auf eine sichere Version ist dringend erforderlich, um das Risiko einer Remotecodeausführung zu minimieren. Bis zur vollständigen Behebung sollten gegebenenfalls temporäre Mitigationen oder eine verstärkte Überwachung der betroffenen Systeme in Betracht gezogen werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

The Forminator Forms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.56.1 via the handle_file_upload function. This is due to insufficient file type validation in handle_file_upload, where the dangerous-extension blocklist performs exact-key matching that is bypassed by pipe-alternative MIME type keys, combined with a public submission handler that trusts attacker-controlled upload field configuration injected via a forged Select field value. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.

Referenzen