Ninja Forms - File Uploads: Beliebiges Lesen, Schreiben und Löschen von Dateien

Zusammenfassung

Die Versionen bis und mit 3.3.34 des WordPress-Add-ons Ninja Forms - File Uploads vertrauen einem Dateipfad aus der Formularübermittlung, wenn die Aktion External File Upload (Amazon S3) verwendet wird. Ein nicht authentifizierter Angreifer kann dadurch Dateien über die Benachrichtigungs-E-Mail des Formulars lesen, Dateien schreiben (was bei konfiguriertem externem Speicher zu Remote Code Execution führen kann) und Dateien auf dem Server löschen. Die Lesevariante erfordert zusätzlich eine Formular-Aktion Email, die die hochgeladene Datei anhängt.

Betroffen

• Ninja Forms - File Uploads (SaturdayDrive), alle Versionen bis und mit 3.3.34
• Die Ausnutzung erfordert, dass die Aktion External File Upload (Amazon S3) in einem Formular konfiguriert ist

Behoben in

Unbekannt. Für diese CVE ist keine korrigierte Version bestätigt. Das Changelog des Herstellers führt Version 3.3.35 (5. Oktober 2026) mit dem Eintrag 'require administrator capability for external file URL access' auf, was dieses Problem beheben könnte, aber nicht bestätigt ist. Die frühere CVE-2026-0740 wurde in Version 3.3.27 behoben.

Umgehung

• Die Aktion External File Upload (Amazon S3) in allen Formularen deaktivieren, bei denen sie nicht geschäftskritisch ist
• Formular-Aktionen Email, die hochgeladene Dateien anhängen, entfernen oder überprüfen
• Berechtigungen der S3-Integration prüfen und den Zugriff auf das Dateisystem einschränken
• Ein vom Hersteller veröffentlichter Workaround ist nicht bekannt.

Ausnutzung

• In freier Wildbahn: zum Zeitpunkt der Erstellung nichts bekannt; nicht im Katalog CISA KEV aufgeführt.
• Öffentlicher Proof of Concept: zum Zeitpunkt der Erstellung keiner bestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle WordPress-Websites mit diesem Add-on erfassen und prüfen, ob sie die S3-Aktion verwenden oder Uploads an E-Mails anhängen.
• Die S3-Aktion und Dateianhänge in betroffenen Formularen deaktivieren, bis eine Korrektur bestätigt ist.
• Das Update des Herstellers sobald verfügbar einspielen und prüfen, ob es tatsächlich installiert wurde, da Premium-Plugins unter Umständen nicht automatisch aktualisiert werden.
• Dateien und Logs auf unerwartete Änderungen, Löschungen oder ungewöhnliche Formularübermittlungen prüfen.
• Websites unter 3.3.34 sollten zusätzlich auf CVE-2026-0740 geprüft werden, die in Version 3.3.27 behoben wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Ninja Forms File Uploads extension (vendor page) ninjaforms.com
• Wordfence threat intelligence record www.wordfence.com
• Vendor changelog (3.3.35 entry, unverified for this CVE) ninjaforms.com
• WPScan plugin page (earlier file read issue, fixed in 3.3.30) wpscan.com
• Positive Technologies database entry (affected range) vulners.com
• The Hacker Wire (exploitation status) www.thehackerwire.com
• Threat Radar summary (affected versions) radar.offseq.com
• University of Toronto security advisory (earlier related issue) security.utoronto.ca

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:00.