Forms WordPress-Plugin: Nicht authentifizierte gespeicherte XSS über Formularübermittlungen

Zusammenfassung

Versionen des Forms WordPress-Plugins vor 3.0.2 bereinigen übermittelte Formularwerte nicht und maskieren sie im Übermittlungsbereich des Admin-Dashboards nicht. Ein nicht angemeldeter Besucher kann ein Formular mit einem Skript übermitteln, das im Browser jedes Administrators ausgeführt wird, der die Übermittlungen öffnet. Der Angriff benötigt keine Anmeldung, hängt jedoch davon ab, dass ein Administrator die gespeicherten Übermittlungen ansieht.

Betroffen

• Forms (WordPress-Plugin), alle Versionen vor 3.0.2 (gemäss CVE-Eintrag)
• Die genaue Identität des Plugins ist nicht verifiziert: Das CNA führt den Hersteller als 'Unknown' und das Produkt als 'Forms'.

Behoben in

• Version 3.0.2 (gemäss CVE-Beschreibung). Eine Herstellerwarnung, welche die Behebung bestätigt, wurde nicht gefunden.

Umgehung

Unbekannt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Die Bewertungen variieren je nach Quelle: NVD 8.8, VulDB 4.3.

Unsere Empfehlung

• Falls das Forms-Plugin installiert ist, auf Version 3.0.2 oder neuer aktualisieren, zuerst auf öffentlich erreichbaren Websites.
• Bis zur Aktualisierung den Kreis der Personen einschränken, die sich im WordPress-Admin-Bereich anmelden können, und Übermittlungsdaten nicht als Administrator öffnen.
• Bestehende Formularübermittlungen auf unerwartete Skriptinhalte prüfen.
• Administratorkonten, die vor dem Patchen Übermittlungen angesehen haben, auf ungewöhnliche Aktivitäten prüfen.
• Als zusätzliche Schutzmassnahme eine strikte Content Security Policy in Betracht ziehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan advisory wpscan.com
• VulDB 419470 vuldb.com
• Vulners CVE list entry vulners.com
• Vulners CIRCL entry vulners.com
• GitHub CVE tracker issue github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:54.