ACPT (Premium) WordPress-Plugin: Remote Code Execution über REST-API-Formulare
Zusammenfassung
Das WordPress-Plugin ACPT (Premium) bis und mit Version 2.0.66 erlaubt authentifizierten Benutzern mit mindestens Subscriber-Berechtigung, Code auf dem Webserver auszuführen. Der REST-API-Endpunkt zum Erstellen von Formularen verfügt über keine Berechtigungsprüfung, und E-Mail-Vorlagen werden in einer nicht gesandboxten Twig-Umgebung gerendert. Ein Angreifer erstellt zuerst ein Formular mit manipulierten E-Mail-Einstellungen und löst danach eine Formularübermittlung aus, um die eingeschleusten Ausdrücke auszuführen. Websites mit offener Registrierung sind am stärksten gefährdet.
Betroffen
- WordPress-Plugin ACPT (Premium), alle Versionen bis und mit 2.0.66
Behoben in
Unbekannt. Eine korrigierte Version ist wahrscheinlich 2.0.67, dies ist für diese CVE jedoch nicht bestätigt.
Umgehung
- Offene Selbstregistrierung deaktivieren und nicht benötigte Subscriber-Konten prüfen oder entfernen
- Bestehende ACPT-Formulare und deren E-Mail-Einstellungen auf unerwarteten Vorlageninhalt prüfen
- ACPT (Premium) deaktivieren, falls keine Formulare verwendet werden
Ausnutzung
Unbekannt. Es wurde kein öffentlicher Proof-of-Concept-Exploit gefunden. Die geprüften Quellen führen die CVE nicht als bereits ausgenutzt, die CISA-KEV-Liste wurde jedoch nicht überprüft.
Unsere Empfehlung
- ACPT (Premium) auf die neueste Version aktualisieren, mindestens auf 2.0.67, sobald der Hersteller die Korrektur bestätigt hat
- Prüfen, ob die WordPress-Website Registrierungen zulässt oder Subscriber-Konten besitzt
- Formulare und REST-API-Logs auf unbekannte oder kürzlich erstellte Formulare prüfen
- Webserver auf ungewöhnliche Prozessaktivitäten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence advisory www.wordfence.com
- ACPT changelog acpt.io
- ACPT 2.0.67 security advisory (PHP Object Injection) docs.acpt.io
- ACPT download and documentation docs.acpt.io
- VulDB CVE-2026-105701 vuldb.com
- Strix CVE-2026-105701 www.strix.ai
- OpenCVE affected products app.opencve.io
- GitHub CVE issue 1189 (EPSS and status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.