ARForms: Nicht authentifizierte gespeicherte Cross-Site-Scripting-Schwachstelle über Referer-Header

Zusammenfassung

Das Plugin ARForms für WordPress bis und mit Version 7.2.4 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle bei der Verarbeitung des Referer-Headers durch den AJAX-Handler arf_save_incomplete_form_data(). Der Handler ist ohne Authentifizierung erreichbar, daher kann ein nicht authentifizierter Angreifer ein Skript speichern, indem er einen unvollständigen Formulareintrag mit gefälschtem Referer-Header übermittelt. Das Skript wird im Browser jeder Person ausgeführt, die die manipulierte Seite aufruft, auch im Browser von Administratoren im Backend, was Session-Diebstahl oder Aktionen in deren Namen ermöglichen kann. Die CNA bewertet die Schwachstelle mit CVSS 7.2 (High), VulDB mit 4.3 (Medium).

Betroffen

• Plugin ARForms für WordPress, alle Versionen bis und mit 7.2.4
• VulDB listet 7.2.0 bis 7.2.4; ältere Versionen sind als betroffen zu behandeln

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt. Die Einträge im Änderungsprotokoll des Herstellers bis 7.3 (7. November 2026) beschreiben nur kleinere Fehlerbehebungen und erwähnen diese Schwachstelle nicht.

Umgehung

• Keine vom Hersteller bestätigte Massnahme.
• ARForms auf Websites deaktivieren, auf denen das Plugin nicht geschäftskritisch ist.
• Falls das Plugin aktiv bleiben muss, den Zugriff auf den Übermittlungspfad des Formulars einschränken und gespeicherte Formulareinträge prüfen, insbesondere solche, die im Backend geöffnet werden.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; sie ist nicht im KEV-Katalog aufgeführt.
• Bis 10. November 2026 wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
• Zum Platzieren der Nutzlast ist keine Anmeldung nötig, jedoch muss ein Benutzer die manipulierte Seite aufrufen.

Unsere Empfehlung

• Prüfen, ob ARForms auf öffentlichen Websites installiert ist, und das Plugin deaktivieren, wenn es nicht benötigt wird.
• Falls das Plugin aktiv bleiben muss, den Zugriff auf den Übermittlungspfad des Formulars einschränken und das Backend auf verdächtige Formulareinträge überwachen.
• Nach Veröffentlichung einer korrigierten Version durch den Hersteller umgehend aktualisieren und das Änderungsprotokoll des Herstellers sowie den Wordfence-Eintrag überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• ARForms vendor changelog www.arformsplugin.com
• VulDB CVE-2026-12424 vuldb.com
• OpenCVE CVE-2026-12424 app.opencve.io
• OffSeq radar CVE-2026-12424 radar.offseq.com
• WPScan ARForms plugin wpscan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:23.