ARForms: Unauthentifizierte gespeicherte Cross-Site-Scripting-Schwachstelle über den Parameter description
Zusammenfassung
Das WordPress-Plugin ARForms bis und mit Version 7.2.4 validiert und escaped den Parameter 'description' nicht ausreichend. Ein nicht angemeldeter Angreifer kann einen präparierten Wert übermitteln, der gespeichert und ausgeführt wird, sobald ein Administrator den betroffenen Eintrag im Administrationsbereich anzeigt. Damit können Skripte im Browser-Sitzungskontext des Administrators ausgeführt werden, was zur Übernahme des Administratorkontos führen kann. Voraussetzung ist, dass ein Administrator den manipulierten Eintrag öffnet.
Betroffen
- WordPress-Plugin ARForms, alle Versionen bis und mit 7.2.4
Behoben in
Unbekannt. Das Changelog des Herstellers führt Version 7.3 (07. November 2026) mit dem Hinweis 'Minor bug fixes & improvements', verweist jedoch nicht auf diese CVE. Eine bestätigte korrigierte Version wurde nicht gefunden.
Umgehung
Unbekannt. Vom Hersteller wurde kein Workaround gefunden.
Ausnutzung
- Bis am 11. November 2026 ist keine Ausnutzung bekannt.
- Nicht im Katalog CISA KEV aufgeführt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob ARForms installiert ist und ob auf Ihren Websites öffentlich zugängliche Formulare vorhanden sind.
- Deaktivieren Sie das Plugin, wenn keine Formularfunktion benötigt wird.
- Beschränken Sie die Anzahl der Administratorkonten und lassen Sie Administratoren für Arbeiten im Backend getrennte Browser-Sitzungen verwenden.
- Prüfen Sie bestehende Formulareinträge auf eingeschleusten Skriptcode und löschen Sie verdächtige Einträge.
- Kontrollieren Sie das Changelog des Herstellers und Wordfence regelmässig und aktualisieren Sie, sobald eine korrigierte Version bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence record www.wordfence.com
- ARForms vendor changelog www.arformsplugin.com
- OpenCVE CVE-2026-12427 app.opencve.io
- OffSeq radar CVE-2026-12427 radar.offseq.com
- WPScan plugin page ARForms wpscan.com
- CodeCanyon ARForms listing codecanyon.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.