Advanced Form Integration: Authentifizierungsumgehung durch unbestätigte Passwortänderung

Zusammenfassung

Das WordPress-Plugin Advanced Form Integration erlaubt in den Versionen bis und mit 2.9.0 nicht authentifizierten Angreifern, das Passwort beliebiger WordPress-Benutzer zu ändern, einschliesslich Administratoren. Der Angriff erfolgt über ein öffentliches Contact Form 7-Formular, wenn ein Administrator eine Integration konfiguriert hat, die Formularfelder der Aktion Ultimate Member Update Profile Field zuordnet. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme der Website führen.

Betroffen

• Advanced Form Integration von nasirahmed, alle Versionen bis und mit 2.9.0
• Nur Websites, auf denen ein Administrator eine Contact Form 7-Integration mit der Aktion Ultimate Member Update Profile Field konfiguriert hat

Behoben in

• Version 2.10.0 oder neuer dürfte das Problem beheben (nur gemäss Recherchequellen, nicht vom Hersteller bestätigt)
• Herstellerhinweis oder Versionshinweis: Unbekannt.

Umgehung

• Deaktivieren Sie das Plugin, bis eine korrigierte Version installiert ist.
• Entfernen oder deaktivieren Sie alle Contact Form 7-Integrationen, die öffentliche Formularfelder der Aktion Ultimate Member Update Profile Field zuordnen.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
• EPSS 0.00408 (niedrig).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Prüfen Sie, ob das Plugin installiert ist und ob die Version 2.9.0 oder älter ist.
• Deaktivieren Sie das Plugin oder entfernen Sie die betroffenen Integrationen, bis eine korrigierte Version bestätigt ist.
• Aktualisieren Sie auf Version 2.10.0 oder neuer, sobald diese bestätigt ist, und prüfen Sie die installierte Version im WordPress-Backend.
• Prüfen Sie die Administratorkonten auf unerwartete Passwortänderungen oder Anmeldungen und setzen Sie im Zweifelsfall die Passwörter zurück.
• Beobachten Sie Herstellerinformationen und eine mögliche Aufnahme in den CISA KEV-Katalog.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Changeset for tag 2.10.0 plugins.trac.wordpress.org
• Trigger code for Contact Form 7 (tag 2.9.0) plugins.trac.wordpress.org
• Ultimate Member action code (tag 2.9.0, line 169) plugins.trac.wordpress.org
• Ultimate Member action code (tag 2.9.0, line 83) plugins.trac.wordpress.org
• Third-party threat center entry www.ionix.io
• HOL Guard CVE entry hol.org
• Plugin directory browser plugins.trac.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:21.