Super Forms WordPress-Plugin: Uneingeschränkter Dateiupload mit möglicher Remote Code Execution
Zusammenfassung
Das Plugin Super Forms – Drag & Drop Form Builder für WordPress prüft in bis und mit Version 6.3.316 beim Dateiupload den Dateityp nicht. Die erlaubten Erweiterungen werden aus einer vom Angreifer kontrollierbaren Formular-Einstellung übernommen, weshalb ausführbare Dateien hochgeladen werden können. Der Angreifer benötigt mindestens ein Subscriber-Konto; der offizielle Eintrag ist widersprüchlich, ob der anschliessende Upload-Schritt eine Authentifizierung erfordert. Ein erfolgreicher Upload kann zur Remote Code Execution auf dem Webserver führen.
Betroffen
- Super Forms – Drag & Drop Form Builder (WordPress-Plugin) bis und mit Version 6.3.316
- Stable-Linie des Plugins; die Release-Notizen des Herstellers verweisen zusätzlich auf die 6.4-Linie
Behoben in
- Version 6.3.317 oder neuer (gemäss Release-Notizen des Herstellers; nicht unabhängig verifiziert)
- Installationen auf der 6.3-Linie sollten die aktuelle 6.3.x-Version verwenden (laut Herstellerangaben 6.3.320; nicht unabhängig verifiziert)
Umgehung
- Kein Workaround des Herstellers gefunden.
- Öffentliche Benutzerregistrierung einschränken oder deaktivieren.
- Nicht benötigte Subscriber-Konten entfernen.
- Das Upload-Verzeichnis auf unerwartete ausführbare Dateien prüfen.
Ausnutzung
- Keine bestätigte Ausnutzung dieser CVE in freier Wildbahn gefunden.
- Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit verfügbar.
- Nicht im CISA KEV-Katalog; EPSS bei etwa 0.5% zum Zeitpunkt der Auflistung.
- Andere Super-Forms-Schwachstellen werden aktiv ausgenutzt; diese sind separate CVEs.
Unsere Empfehlung
- Alle WordPress-Installationen mit Super Forms identifizieren und die installierte Version prüfen.
- Auf Version 6.3.317 oder neuer aktualisieren, bzw. auf die aktuelle Version der eigenen Linie.
- Prüfen, ob öffentliche Registrierung oder das Register & Login-Add-on aktiviert ist, und deaktivieren, falls nicht benötigt.
- Neue Uploads auf ausführbare Dateien prüfen und unerwartete Dateien entfernen.
- Webserver-Logs auf ungewöhnliche Upload-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence advisory www.wordfence.com
- GitHub pull request #205 github.com
- Vendor release v6.4.008 github.com
- OSV record CVE-2026-17196 osv.dev
- VulDB entry 415251 vuldb.com
- GitHub alert aggregator issue 1470 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.