Super Forms: Löschen beliebiger Dateien und Verzeichnisse durch Benutzer

Zusammenfassung

Super Forms, ein Formular-Plugin für WordPress, erlaubt bis einschliesslich Version 6.3.316 Benutzern mit mindestens Subscriber-Rechten, beliebige Dateien und Verzeichnisse auf dem Server rekursiv zu löschen. Die Schwachstelle entsteht durch eine fehlende Berechtigungsprüfung im Speicherhandler für Formulare in Kombination mit unbereinigten Eingaben im Übermittlungshandler, der einen vom Angreifer kontrollierten Pfad an eine Löschfunktion übergibt. Ein Angreifer kann so kritische Dateien wie wp-config.php entfernen, wodurch die gesamte Website ausfallen kann und bei einer Neuinstallation durch Dritte eine Remote Code Execution möglich wird. Der CVSS-Basiswert beträgt 8.1 (High). Laut CVE-Eintrag und CISA-SSVC-Bewertung ist keine Ausnutzung bekannt und die Schwachstelle ist nicht automatisierbar.

Betroffen

• Super Forms (WebRehab) Versionen 0 bis einschliesslich 6.3.316
• Standardkonfiguration: nicht betroffen (die verwundbare Einstellung 'file_upload_submission_delete' muss aktiviert sein)

Behoben in

• Version 6.3.317 (stabile Linie), laut einer WPScan-Auflistung, die zu dieser Schwachstelle passt; die Zuordnung zu dieser CVE ist eine Ableitung
• Version 6.4.008 für die 6.4-Beta-Linie; der Hersteller empfiehlt das Update für alle Websites mit 6.4.001 bis 6.4.007
• Die Versionshinweise des Herstellers zu 6.3.317 nennen diese CVE nicht

Umgehung

• Im CVE-Eintrag ist kein Workaround dokumentiert.
• VulDB empfiehlt, das Hochladen von Dateien für Benutzerrollen mit niedrigeren Rechten einzuschränken, bis Updates eingespielt sind.
• Die Einstellung 'Dateien nach Formularübermittlung vom Server löschen' bis zur Installation des Updates deaktivieren.

Ausnutzung

• CISA SSVC: keine Ausnutzung, nicht automatisierbar, technische Auswirkung partiell.
• Ein authentifiziertes Konto mit mindestens Subscriber-Rechten ist erforderlich.
• In den geprüften Quellen ist keine öffentliche Ausnutzung bestätigt.

Unsere Empfehlung

• Super Forms auf jeder Website auf Version 6.3.317 oder neuer aktualisieren (oder auf 6.4.008 oder neuer auf der Beta-Linie).
• Bis dahin die Einstellung zum Löschen von Dateien nach der Übermittlung deaktivieren und die Registrierung sowie das Hochladen von Dateien für Rollen mit niedrigeren Rechten einschränken.
• Benutzerkonten mit Subscriber-Zugriff prüfen und nicht benötigte Konten entfernen.
• Die WordPress-Installation und die Dateiintegrität prüfen und vor und nach dem Update ein Backup erstellen.
• Auf unerwartet fehlende Dateien und Änderungen an wp-config.php achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence: CVE-2026-15983 www.wordfence.com
• GitHub pull request #205 (super-forms) github.com
• Super Forms 6.3.317 release notes github.com
• Super Forms 6.4.008 release notes github.com
• WPScan: Super Forms vulnerabilities wpscan.com
• OSV: CVE-2026-15983 osv.dev
• VulDB: CVE-2026-15983 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:04.