WPMU DEV Forminator: Rechteausweitung durch falsche Rechtezuweisung
Zusammenfassung
Das WordPress-Formular-Plugin Forminator enthält eine falsche Rechtezuweisung, die eine Rechteausweitung ermöglicht. Laut Patchstack kann ein Benutzer mit niedrigen Rechten zum Administrator werden und die volle Kontrolle über die Website erlangen. Die Schwachstelle ist aus der Ferne ausnutzbar, Patchstack weist jedoch auf viele Voraussetzungen hin, und CISA SSVC führt die Ausnutzung als none.
Betroffen
- Forminator bis und mit 1.57.3
- VulDB führt zusätzlich 1.57.0 bis 1.57.3 als betroffen auf
Behoben in
- Forminator 1.58.0 (von Patchstack und dem CVE-Eintrag genannte Korrekturversion: mindestens 1.58.0)
- Die WordPress.org-Übersicht zeigt 1.58.3 als neueste Version; die primäre Herstellerwarnung wurde nicht geprüft
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt. Das Plugin aktualisieren.
- Bis zur Aktualisierung Administratoren- und kürzlich erstellte Konten sowie Rollenzuweisungen auf unerwartete Änderungen prüfen.
Ausnutzung
- Kein öffentlicher Exploit bekannt (VulDB).
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell.
- Patchstack erwartet keine Massenausnutzung.
- Keine Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Forminator sofort auf die neueste Version von WordPress.org aktualisieren, mindestens aber auf 1.58.0.
- Alle Benutzerkonten und Administratorrollen auf unbekannte Einträge prüfen und nicht erkannte Konten entfernen.
- Prüfen, welche Konten Formulare bearbeiten können und welche Rollen über Forminator vergeben werden.
- Auf neue Administratorkonten oder geänderte Rollen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- NVD record via Vulners vulners.com
- VulDB entry vuldb.com
- WordPress.org plugin page wordpress.org
- WPScan plugin page wpscan.com
- Patchstack vulnerability history for Forminator patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.