Piotnet Forms: Nicht authentifizierte gespeicherte Cross-Site-Scripting-Schwachstelle über Datei-Upload
Zusammenfassung
Das WordPress-Plugin Piotnet Forms bis und mit Version 1.0.30 prüft Datei-Uploads bei Formularübermittlungen nicht und erlaubt das Speichern von Dateitypen, die im Browser dargestellt werden können. Ein nicht authentifizierter Angreifer kann eine Datei hochladen, die beim Öffnen beliebiges JavaScript im Ursprung der Website ausführt. Voraussetzung ist ein öffentliches Formular mit Datei-Upload und dass jemand, etwa ein Mitarbeitender bei der Prüfung von Eingaben, die gespeicherte Datei öffnet.
Betroffen
- Piotnet Forms WordPress-Plugin, alle Versionen bis und mit 1.0.30
- Hersteller im CVE-Eintrag nicht bestätigt (als Unknown aufgeführt)
Behoben in
Unbekannt. Es ist keine korrigierte Version vom Hersteller oder von WordPress.org bestätigt. Ein Aggregator empfiehlt Version 1.0.31 oder neuer, dies ist nicht verifiziert.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Plugin deaktivieren oder entfernen, falls es nicht benötigt wird.
- Direkten Zugriff auf das Upload-Verzeichnis blockieren und Uploads mit einem sicheren Inhaltstyp ausliefern.
Ausnutzung
- Am 09.10.2026 durch WPScan öffentlich gemacht (Melder Claude Ndanda).
- Öffentlicher Proof of Concept: nicht bestätigt.
- Bekannte Ausnutzung: keine. Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein. EPSS etwa 0.17%.
Unsere Empfehlung
- Alle Websites mit Piotnet Forms identifizieren und die installierte Version prüfen.
- Plugin deaktivieren, wo es nicht benötigt wird, oder entfernen.
- Zugriff auf das Upload-Verzeichnis einschränken und es auf unerwartete HTML-, SVG- oder Script-Dateien prüfen.
- Mitarbeitende angewiesen, hochgeladene Eingaben nur sicher zu öffnen, nicht in einer Admin-Browsersitzung.
- Letzte Formularübermittlungen prüfen und neue Uploads überwachen.
- Sobald eine Korrektur des Herstellers bestätigt ist, umgehend einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-96227 app.opencve.io
- Vulners NVD CVE-2026-96227 vulners.com
- TheHackerWire CVE-2026-96227 www.thehackerwire.com
- Strix CVE-2026-96227 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:35.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.