SimpleForm WordPress-Plugin: Unauthentifizierte Rechteausweitung zu Administrator

Zusammenfassung

Das Formular-Plugin SimpleForm für WordPress erlaubt in den Versionen bis und mit 3.10.0 nicht angemeldeten Besuchern, WordPress-Konten mit Administratorrechten anzulegen. Die AJAX-Registrierungsaktion beschränkt die Rollenzuweisung nicht, weshalb eine manipulierte Anfrage mit wp_capabilities ein Administratorkonto erzeugt. Der erforderliche Nonce ist auf jeder Frontend-Seite öffentlich sichtbar, und laut CVE-Eintrag ist auch die Standardkonfiguration betroffen, daher ist weder Anmeldung noch besondere Einrichtung nötig.

Betroffen

• SimpleForm WordPress-Plugin, alle Versionen bis und mit 3.10.0
• Standardkonfiguration: laut CVE-Eintrag betroffen

Behoben in

• Version 3.10.1 laut WordPress.org-Changelog (noch nicht gegen das Wordfence-Advisory bestätigt)

Umgehung

• Plugin deaktivieren und entfernen, bis ein Update eingespielt werden kann
• Offene Benutzerregistrierung in WordPress deaktivieren (Einstellungen > Allgemein > Mitgliedschaft), falls sie nicht benötigt wird
• WAF-Regel für die Aktion simpleform_wp_register in Betracht ziehen, jedoch nicht als alleinige Massnahme verlassen

Ausnutzung

• Öffentlicher Proof-of-Concept-Code existiert auf GitHub (zwei Repositories)
• Die CISA-SSVC-Bewertung führt die Ausnutzung als none auf; die CVE ist nicht im KEV-Katalog gelistet
• Aktive Ausnutzung in freier Wildbahn: Unbekannt

Unsere Empfehlung

• SimpleForm umgehend auf Version 3.10.1 oder neuer aktualisieren und die Behebung gegen das Wordfence-Advisory prüfen
• Alle WordPress-Installationen auf dieses Plugin und dessen Version prüfen
• Die Liste der Administratorkonten auf unbekannte Konten prüfen und Websites untersuchen, auf denen das Plugin exponiert war
• Das Plugin auf Websites deaktivieren, auf denen noch kein Update möglich ist
• Auf neue Administratorkonten und unerwartete Änderungen achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  joshuavanderpoll/CVE-2026-104748 · MrjHaxcore/CVE-2026-104748

Quellen der Recherche

• WordPress.org: SimpleForm plugin page and changelog wordpress.org
• Wordfence threat intelligence advisory www.wordfence.com
• Trunk changeset 3726513 (WordPressAuth.php) plugins.trac.wordpress.org
• CVE text and dates (threatint) cve.threatint.com
• Vulners exploit entries vulners.com
• PoC repository (joshuavanderpoll) github.com
• PoC repository (MrjHaxcore, conflicting version range) github.com
• TheHackerWire (KEV status, conflicting PoC claim) www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:02.