Ninja Forms File Uploads: Nicht authentifizierte beliebige Dateilöschung

Zusammenfassung

Das Add-on File Uploads für Ninja Forms unter WordPress erlaubt nicht authentifizierten Benutzern, beliebige Dateien auf dem Server zu löschen. Ein vom Client gesendeter Dateipfad wird nicht validiert, wenn eine öffentliche Formularübermittlung extra.saveProgress setzt und upload_id weglässt. Das Löschen von wp-config.php bewirkt, dass WordPress den Einrichtungsassistenten anzeigt, was eine vollständige Übernahme der Website ermöglichen kann. Der Eintrag beschreibt zudem das Auslesen beliebiger Dateien über die Ausleitung an S3, Dropbox und Google Drive. Exponiert sind nur Websites mit öffentlichen Formularen mit Datei-Upload-Feldern, die dieses Add-on verwenden.

Betroffen

• SaturdayDrive Ninja Forms - File Uploads (WordPress-Add-on)
• Versionen 0 bis 3.3.36

Behoben in

Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden.

Umgehung

Unbekannt. Kein vom Hersteller bestätigter Workaround.

• Add-on deaktivieren, falls keine öffentlichen Upload-Formulare es benötigen.
• Integrationen für S3, Dropbox und Google Drive bei betroffenen Formularen deaktivieren.
• wp-config.php auf schreibgeschützt setzen und bei Löschung oder Änderung alarmieren.

Ausnutzung

• Gemäss OffSeq ist nicht bekannt, dass die Lücke aktiv ausgenutzt wird (Sicht eines Aggregators, nicht gegen CISA KEV geprüft).
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Websites ermitteln, auf denen dieses Add-on und welche Version eingesetzt wird.
• Websites mit Version 3.3.36 oder älter als verwundbar behandeln, bis der Hersteller eine Korrektur bestätigt, und sobald verfügbar umgehend aktualisieren.
• Die oben genannten Zwischenmassnahmen anwenden und prüfen, ob wp-config.php fehlt oder der Einrichtungsassistent erreichbar ist.
• Die Einträge bei Wordfence und NVD überwachen, da der NVD-Status weiterhin Deferred ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  im0xfay/CVE-2026-126537

Quellen der Recherche

• CVE Record CVE-2026-126537 www.cve.org
• Wordfence threat intelligence record www.wordfence.com
• Ninja Forms File Uploads product page ninjaforms.com
• OffSeq threat radar entry radar.offseq.com
• Strix CVE-2026-92820 (related S3 flow) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:21.