Super Forms WordPress-Plugin: Unauthentifizierte Directory Traversal führt zu beliebigem Lesen von Dateien

Zusammenfassung

Super Forms, ein Formularerstellungs-Plugin für WordPress, enthält eine Directory-Traversal-Schwachstelle in der Funktion parse_request. Ein nicht authentifizierter entfernter Angreifer kann beliebige Dateien auf dem Server lesen, die sensible Informationen wie Konfigurationsdaten enthalten können. In der Standardkonfiguration ist keine Authentifizierung erforderlich, und die Schwachstelle bleibt ausnutzbar, solange der Datei-Upload in einem Formular aktiviert ist, da die Upload-Antwort den Namen des erstellten Verzeichnisses preisgibt.

Betroffen

• Super Forms – Drag & Drop Form Builder (WordPress-Plugin) bis und mit 6.3.316
• Standardkonfiguration: unauthentifizierte Ausnutzung möglich

Behoben in

• Unbekannt für diese CVE. Der Fix-Kandidat des Herstellers ist GitHub PR #205 (in lts/6.3.x zusammengeführt), dieser nennt die CVE jedoch nicht.
• Herstellerhinweise nennen 6.3.317 und 6.3.320 für die 6.3-Linie; dies ist widersprüchlich und für CVE-2026-15896 nicht bestätigt.

Umgehung

• Die Einstellung file_upload_auth aktivieren: Dies blockiert die unauthentifizierte Ausnutzung, behebt die Traversal-Schwachstelle selbst aber nicht.
• Datei-Upload bei Formularen deaktivieren, die ihn nicht benötigen.
• Optionale Übergangslösung, nicht vom Hersteller getestet: WAF-Regel für '../'-Sequenzen in Anfragen an Plugin-Endpunkte.

Ausnutzung

• CISA SSVC (Vulnrichment): Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
• Keine bestätigte Ausnutzung in freier Wildbahn für diese CVE gefunden; laut einer Quelle nicht in KEV gelistet.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Die verwandte CVE-2026-14894 im selben Plugin wird als aktiv ausgenutzt gemeldet (sekundäre Quelle, unverifiziert).

Unsere Empfehlung

• Super Forms auf die neueste 6.3.x-Version aktualisieren und das Herstellerchangelog gezielt auf CVE-2026-15896 prüfen; auf eine Versionsnummer nicht vertrauen, bevor sie bestätigt ist.
• Bis zur Behebung file_upload_auth aktivieren und Datei-Upload bei Formularen deaktivieren, die ihn nicht benötigen.
• WordPress-Installationen mit Super Forms bis und mit 6.3.316 inventarisieren und internetexponierte Systeme priorisieren.
• War eine verwundbare Version internetexponiert, auf Web Shells, unerwartete Administratorkonten und unerwartete Optionen prüfen und Zugangsdaten rotieren, insbesondere Datenbank-Zugangsdaten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• OSV entry CVE-2026-15896 osv.dev
• GitHub PR #205 (super-forms) github.com
• Super Forms release v6.4.008 notes github.com
• OpenCVE CVE-2026-15896 app.opencve.io
• Strix CVE-2026-15896 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:38.