SimpleForm WordPress-Plugin: Unauthentifizierter Upload beliebiger Dateien

Zusammenfassung

Das WordPress-Plugin SimpleForm bis und mit Version 3.10.2 enthält eine Schwachstelle für den Upload beliebiger Dateien in der Funktion handle_upload. Ein abschliessender Punkt im Dateinamen umgeht die Prüfung von Dateiendung und MIME-Typ, sodass ein nicht angemeldeter Angreifer Dateien hochladen kann, die ausführbar sein können, was zu Remote Code Execution führen könnte. Die einzige Prüfung ist ein Nonce, das in jedes öffentliche Formular eingebettet wird, weshalb jeder Besucher einer Seite mit eingebettetem Formular es abrufen kann.

Betroffen

• SimpleForm WordPress-Plugin, Versionen 3.10.2 und älter (CVE-Text: alle Versionen bis und mit 3.10.2)
• VulDB listet zusätzlich 3.10.0 und 3.10.1 als betroffen
• Nur Websites mit einem SimpleForm-Formular auf einer öffentlichen Seite sind über diesen Weg erreichbar (Recherchenotizen, nicht verifiziert)

Behoben in

Unbekannt. Für diese CVE ist bisher keine Korrektur oder gepatchte Version durch den Hersteller bestätigt.

Umgehung

• Plugin deaktivieren oder Formulare mit Datei-Upload-Feld entfernen, bis eine Korrektur bestätigt ist
• Ausführung von Skripten im Upload-Verzeichnis des Plugins auf Webserver-Ebene blockieren
• WAF oder Virtual Patch einsetzen, falls verfügbar (für diese CVE nicht verifiziert)

Ausnutzung

• Ausnutzung in freier Wildbahn: Nicht bekannt (laut OffSeq, nicht gegen CISA KEV geprüft)
• Öffentlicher Proof-of-Concept: Keiner gefunden
• Preisschätzung für Exploit laut VulDB: USD 0-5k

Unsere Empfehlung

• Alle WordPress-Websites auf SimpleForm prüfen und feststellen, ob Version 3.10.2 oder älter installiert ist
• Wo ein Datei-Upload-Feld verwendet wird, dieses jetzt deaktivieren oder entfernen
• Upload-Verzeichnis auf unerwartete oder ausführbare Dateien prüfen und Administratorkonten auf Hinweise für Web-Shells kontrollieren
• Wordfence-Advisory und WordPress.org-Changelog auf eine korrigierte Version überwachen und nach Verfügbarkeit sofort aktualisieren
• Schweregrad als kritisch behandeln (CVSS 9.8 laut CNA; VulDB bewertet mit 7.3)

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• VulDB CVE-2026-118235 vuldb.com
• OffSeq threat radar radar.offseq.com
• WordPress.org plugin page wordpress.org
• Trac FileUpload.php (tag 3.10.2) plugins.trac.wordpress.org
• Trunk changeset 3770697 (FileUpload.php) plugins.trac.wordpress.org
• Patchstack related CVE-2026-104748 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:20.