IvyForms WordPress-Plugin: Beliebiger Datei-Upload mit möglicher Remote Code Execution

Zusammenfassung

Das Formular-Plugin IvyForms für WordPress bis einschliesslich 1.5.1 prüft hochgeladene Dateitypen ungenügend, sodass gefährliche Endungen wie php in Datei-Upload-Feldern zugelassen werden. Ein Angreifer mit der benutzerdefinierten Berechtigung add_edit_forms kann ein solches Feld konfigurieren und das Formular veröffentlichen; danach kann jeder anonyme Besucher über die öffentliche REST-Route /wp-json/ivyforms/v1/form/submission/ Dateien hochladen, was eine Remote Code Execution auf dem Webserver ermöglichen kann. Die Schwachstelle ist mit CVSS 8.8 als hoch eingestuft.

Betroffen

• IvyForms-Plugin für WordPress, alle Versionen bis einschliesslich 1.5.1
• Voraussetzung: ein Konto mit der benutzerdefinierten Berechtigung add_edit_forms und ein veröffentlichtes Formular mit einem Datei-Upload-Feld, das gefährliche Endungen zulässt

Behoben in

• Version 1.5.2 (laut Release-Notes des Herstellers und dem Changelog auf WordPress.org; der Code-Fix wurde nicht unabhängig verifiziert)

Umgehung

• Auf Version 1.5.2 aktualisieren, wo möglich; wenn ein Patch nicht sofort möglich ist, ist kein Workaround dokumentiert
• Alle IvyForms-Formulare auf Datei-Upload-Felder prüfen, die gefährliche Endungen wie php, phtml oder exe zulassen, und diese entfernen
• Die benutzerdefinierte Berechtigung für die Formularverwaltung auf vertrauenswürdige Mitarbeitende beschränken

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA KEV gelistet
• Kein öffentlicher Proof of Concept gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Darüber hinaus unbekannt; CISA KEV und Herstellerquellen erneut prüfen

Unsere Empfehlung

• IvyForms auf allen WordPress-Websites umgehend auf Version 1.5.2 oder neuer aktualisieren
• Prüfen, ob ein IvyForms-Formular ein Datei-Upload-Feld mit gefährlichen Dateiendungen enthält, und solche Felder entfernen
• Prüfen, welche Konten die Berechtigung add_edit_forms besitzen, und diese auf vertrauenswürdige Mitarbeitende beschränken
• Webserver auf unerwartete PHP- oder andere ausführbare Dateien prüfen und Upload-Verzeichnisse sowie REST-API-Anfragen an /wp-json/ivyforms/ überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  noxcrypt-x/CVE-2026-109384

Quellen der Recherche

• WordPress Trac changeset 3757861 (IvyForms) plugins.trac.wordpress.org
• Wordfence threat intelligence record www.wordfence.com
• IvyForms on WordPress.org wordpress.org
• IvyForms documentation ivyforms.com
• VulDB entry CVE-2026-109384 vuldb.com
• OffSeq Radar threat entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:40.