Formidable Forms WordPress-Plugin: Unberechtigte Plugin-Installation über den Parameter file_url

Zusammenfassung

Die kostenlose Version des WordPress-Plugins Formidable Forms bis einschliesslich 6.35 erlaubt authentifizierten Benutzern mit mindestens Subscriber-Rechten, beliebige Plugins auf dem Server zu installieren. Ursache ist eine unzureichende Validierung der URL im Parameter 'file_url' sowie eine Berechtigungsprüfung, die nur auf einem gemeinsamen Token beruht, das über die Berechtigung frm_view_forms erhältlich ist. Formidable Pro darf nicht installiert sein, damit der Angriff funktioniert. Ein erfolgreicher Angriff kann zu einer Backdoor, zu Datendiebstahl oder zur Veränderung der Website führen.

Betroffen

• Formidable Forms (kostenlose Version, ohne Formidable Pro) bis einschliesslich 6.35
• Installationen mit Formidable Pro sind laut Beschreibung nicht betroffen

Behoben in

• Version 7.0 (laut Dr. Web; noch nicht gegen den Wordfence-Eintrag oder das Changelog des Herstellers bestätigt)

Umgehung

• Kein vom Hersteller veröffentlichter Workaround für 6.35 und früher.
• Berechtigungen für Konten mit Subscriber- oder höheren Rollen einschränken und offene Registrierung deaktivieren, wo nicht benötigt.

Ausnutzung

• Gemäss OffSeq nicht als aktiv ausgenutzt bekannt; nicht im CISA-KEV-Katalog.
• Öffentlicher Proof of Concept: nicht bestätigt; die Quellen widersprechen sich.
• CISA SSVC: Exploitation none, Automatable no.

Unsere Empfehlung

• Installierte Version auf allen Websites, auch in Staging-Umgebungen, prüfen und auf 7.0 oder neuer aktualisieren.
• Konten mit Subscriber- oder höheren Rollen überprüfen und öffentliche Registrierung deaktivieren, wo nicht benötigt.
• Auf Websites, die während der Verwundbarkeit exponiert waren, nach unbekannten Plugins und unerwarteten Admin-Benutzern suchen.
• Auf Ausnutzung überwachen, da der CVSS-Wert 8.8 beträgt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Trac changeset 6.35 to 7.0 plugins.trac.wordpress.org
• Trac changeset FrmAddonsController.php plugins.trac.wordpress.org
• FrmAddonsController.php at 6.35 plugins.trac.wordpress.org
• VulDB CVE-2026-89435 vuldb.com
• OffSeq threat radar radar.offseq.com
• TheHackerWire CVE-2026-89435 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:45.