Super Forms: Beliebiges Löschen von Verzeichnissen über Formularübermittlung
Zusammenfassung
Super Forms, ein Formular-Plugin für WordPress, erlaubt nicht authentifizierten Angreifern, beliebige Verzeichnisse auf dem Server rekursiv zu löschen, einschliesslich des WordPress-Stammverzeichnisses. Die Schwachstelle liegt im öffentlichen Formular-Übermittlungshandler, der vom Angreifer gelieferte Dateifeld-Deklarationen nicht gegen das Formularschema prüft. Voraussetzung ist, dass ein Administrator die Einstellung 'Delete files from server after form submissions' aktiviert hat.
Betroffen
- Super Forms (WordPress-Plugin) bis und mit 6.3.316
- Andere Versionen sind gemäss CNA nicht als betroffen aufgeführt
Behoben in
- Stabile Linie 6.3: Version 6.3.317 oder neuer
- Beta-Linie 6.4: Version 6.4.008 oder neuer (Behebung laut Versionshinweisen des Herstellers)
- Auf der Herstellerseite die aktuelle stabile Version prüfen und installieren
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Das Deaktivieren von 'Delete files from server after form submissions' entfernt die genannte Voraussetzung. Dies ist eine Ableitung aus der Beschreibung und sollte zuerst getestet werden.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- In den Quellen wurde keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Prüfen, ob Super Forms bis 6.3.316 auf einer öffentlich erreichbaren WordPress-Website installiert ist.
- Auf die aktuelle stabile Version aktualisieren und prüfen, ob das Update angewendet wurde.
- Die Einstellung 'Delete files from server after form submissions' prüfen und, falls nicht benötigt, deaktivieren.
- Sicherstellen, dass Backups vorhanden und wiederherstellbar sind, inklusive WordPress-Dateien und Datenbank.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence advisory www.wordfence.com
- GitHub pull request #205 (super-forms) github.com
- Super Forms release v6.4.008 github.com
- WPScan plugin page: Super Forms wpscan.com
- OSV vulnerability record CVE-2026-17609 osv.dev
- HOL security advisory CVE-2026-17609 hol.org
- Vendor documentation: Super Forms docs.super-forms.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.