Contact Manager WordPress-Plugin: Nicht authentifizierter beliebiger Datei-Upload

Zusammenfassung

Das Contact Manager Plugin für WordPress enthält bis und mit Version 9.1.2 eine Schwachstelle für beliebige Datei-Uploads in der Funktion add_message. Ein Umgehen der Blacklist mittels eines abschliessenden Punkts im Dateinamen erlaubt nicht authentifizierten Angreifern das Hochladen potenziell ausführbarer Dateien. Eine Remote Code Execution ist nur unter bestimmten Bedingungen möglich, unter anderem bei Apache mit libapache2-mod-php und einem kurzen Zeitfenster, bevor die hochgeladene Datei gelöscht wird.

Betroffen

• kleor Contact Manager WordPress-Plugin, alle Versionen bis und mit 9.1.2

Behoben in

• Version 9.1.3 (wahrscheinliche Korrektur gemäss WordPress.org-Changelog; vor dem Schliessen des Tickets anhand des Changesets prüfen)

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Falls das Update verzögert wird, das Plugin deaktivieren und entfernen.
• Das WordPress-Upload-Verzeichnis auf unerwartete Skriptdateien prüfen.

Ausnutzung

• Ausnutzung in freier Wildbahn: nicht bekannt.
• CISA-KEV-Status: gemäss einem Drittanbieter-Aggregator nicht gelistet; der CISA-Katalog wurde nicht direkt geprüft.
• Öffentlicher Proof of Concept: in der Recherche keiner gefunden, die Suche war jedoch nicht erschöpfend.

Unsere Empfehlung

• Das Contact Manager Plugin prioritär auf Version 9.1.3 oder neuer aktualisieren.
• Prüfen, ob Websites das Plugin einsetzen, auch bei Kundenseiten.
• Bei öffentlich erreichbaren Websites, die Version 9.1.2 oder älter betrieben haben, das Upload-Verzeichnis auf unerwartete Dateien und Anzeichen einer Kompromittierung prüfen.
• Webserver-Logs auf Zugriffe auf hochgeladene Dateien überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Contact Manager 9.1.2 add-message.php plugins.trac.wordpress.org
• Trac changeset 9.1.2 to 9.1.3 plugins.trac.wordpress.org
• WordPress.org plugin page (changelog) wordpress.org
• VulDB entry vuldb.com
• OffSeq radar entry radar.offseq.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:17.