Super Forms WordPress-Plugin: Unauthentifizierte Rechteerweiterung über role-Parameter
Zusammenfassung
Das Add-on Register & Login von Super Forms akzeptiert bei der Registrierung einen vom Client übermittelten Wert für 'role' und übergibt ihn ungeprüft an die Benutzererstellung von WordPress. Ein nicht authentifizierter Angreifer kann mit role=administrator im Formular eines veröffentlichten Registrierungsformulars ein neues Konto mit der Rolle Administrator anlegen. Dadurch erhält er die volle Kontrolle über die WordPress-Website.
Betroffen
- Super Forms – Drag & Drop Form Builder (WordPress-Plugin), alle Versionen bis und mit 6.3.316
- Add-on Register & Login (betroffen über denselben Codepfad)
- Voraussetzung: ein veröffentlichtes Super-Forms-Formular mit der Registrierungsaktion (register_login_action='register')
Behoben in
- Super Forms 6.3.317 (laut WPScan; die Release Notes des Herstellers nennen diese CVE nicht)
- Neuere Versionen existieren (zum Beispiel 6.3.320 LTS); aktuelle Version auf dem Update-Server prüfen
- Zusätzlich die Version des Add-ons Register & Login prüfen
Umgehung
- Kein vom Hersteller veröffentlichter Workaround.
- Bis zur Behebung öffentliche Super-Forms-Registrierungsformulare deaktivieren oder nicht veröffentlichen.
- WordPress-Benutzerkonten auf unerwartete Administratoren prüfen.
Ausnutzung
- Öffentlich verfügbarer Proof-of-Concept-Exploit-Code existiert auf GitHub und ist bei Sploitus indexiert.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; die CVE ist nicht im CISA-KEV-Katalog gelistet. Das Fehlen im KEV-Katalog beweist nicht, dass keine Ausnutzung erfolgt.
Unsere Empfehlung
- Super Forms auf 6.3.317 oder neuer aktualisieren, einschliesslich des Add-ons Register & Login, auf allen WordPress-Websites.
- Bis zur Aktualisierung öffentliche Registrierungsformulare mit der Registrierungsaktion deaktivieren.
- Benutzerlisten auf unerwartete Administratorkonten prüfen und Logs auf Registrierungen mit role-Parameter kontrollieren.
- Öffentliche PoC-Werkzeuge nicht gegen Systeme einsetzen, die nicht im eigenen Besitz sind oder für deren Test keine Berechtigung vorliegt.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (2 Repositories)
fl0ydsec/CVE-2026-15989 · antid00t/CVE-2026-15989
Quellen der Recherche
- GitHub Pull Request #205 (RensTillmann/super-forms) github.com
- Wordfence threat intelligence record www.wordfence.com
- VulDB CVE-2026-15989 vuldb.com
- OSV CVE-2026-15989 osv.dev
- WPScan Super Forms plugin wpscan.com
- Super Forms release v6.3.317 github.com
- CISA KEV tracker issue (astruzocyber) github.com
- Public PoC repository (antid00t) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.