ARForms: Nicht authentifizierter Upload beliebiger Dateien mit Codeausführung

Zusammenfassung

Das Formular-Plugin ARForms für WordPress erlaubt nicht authentifizierten Angreifern, über dessen Datei-Upload-Handler Dateien auf den Webserver hochzuladen. Der Name der gespeicherten Datei stammt aus einem vom Angreifer kontrollierten Request-Header, und die Prüfungen des Plugins für Dateityp und Dateiinhalt lassen sich umgehen, sodass Dateien mit PHP-Code in ein öffentlich zugängliches Verzeichnis geschrieben werden können. Dies kann zur Remote Code Execution führen, jedoch nur, wenn auf der Website ein veröffentlichtes Formular mit einem File-Feld öffentlich zugänglich ist. Der CVSS-Wert der NVD ist provisorisch, da der Eintrag noch zurückgestellt ist.

Betroffen

• ARForms-Plugin für WordPress, alle Versionen bis und mit 7.2.4

Behoben in

Unbekannt. In den geprüften Quellen wurde keine korrigierte Version identifiziert.

Umgehung

• Formulare mit einem File-Feld unveröffentlichen oder auf angemeldete Benutzer beschränken
• Das Plugin ARForms deaktivieren, wenn Datei-Uploads nicht geschäftskritisch sind
• Den Webserver so konfigurieren, dass PHP im WordPress-Upload-Verzeichnis und in den Upload-Ordnern von ARForms nicht ausgeführt werden kann
• Eine Web Application Firewall vor die Website schalten und POST-Anfragen an den Formular-Upload-Handler überwachen

Ausnutzung

• Nicht im Katalog der Known Exploited Vulnerabilities der CISA enthalten
• In freier Wildbahn beobachtet: Unbekannt
• Öffentlicher Proof of Concept: Unbekannt

Unsere Empfehlung

• Auf jeder Kundenwebsite prüfen, ob öffentliche Formulare ein File-Feld enthalten, und diese umgehend entfernen oder einschränken
• ARForms deaktivieren, wo keine Uploads benötigt werden
• Upload-Verzeichnisse auf unerwartete PHP- oder Skriptdateien, neue Administratorkonten und veränderte Dateien prüfen; bei Verdacht auf Kompromittierung aus einem sauberen Backup wiederherstellen
• Den Hersteller und Wordfence auf eine korrigierte Version überwachen und sofort aktualisieren, sobald diese verfügbar ist
• Prüfen, ob unlizenzierte (nulled) ARForms-Kopien im Einsatz sind, und diese durch lizenzierte Versionen ersetzen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  im0xfay/CVE-ARFORMS

Quellen der Recherche

• ARForms changelog (vendor) www.arformsplugin.com
• Wordfence threat intelligence record www.wordfence.com
• OpenCVE CVE-2026-111190 app.opencve.io
• VulDB entry 435688 vuldb.com
• OffSeq threat record CVE-2026-111190 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:21.