Kurzfassung

Zwei kritische Schwachstellen betreffen populäre WordPress-Formular-Plugins: CVE-2026-84434 in Gravity Forms und CVE-2026-92229 in Forminator. Für CVE-2026-84434 nennt NVD einen CVSS-Basiswert von 9.8, kritisch; der Angriff ist über das Netzwerk möglich, ohne Anmeldung und ohne Nutzerinteraktion. Für Betreiber öffentlich erreichbarer WordPress-Formulare ist das vor allem dann relevant, wenn Datei-Uploads oder dynamische Formularfunktionen im Einsatz sind.

Was ist passiert?

Im Mittelpunkt stehen zwei getrennte, aber thematisch eng verwandte Schwachstellen in WordPress-Erweiterungen für Formulare. Beide Plugins sind in vielen Webseiten im Einsatz, etwa für Kontaktformulare, Upload-Formulare, Zahlungsformulare oder individuelle Datenerfassung.

CVE-2026-84434 betrifft Gravity Forms in allen Versionen bis einschließlich 3.1.0.4. Der Fehler erlaubt unter bestimmten Bedingungen das Hochladen beliebiger Dateien. Laut NVD kann daraus Remotecodeausführung entstehen, also die Ausführung von Code auf dem Webserver. Voraussetzung ist, dass ein betroffenes öffentlich erreichbares Formular ein Datei-Upload-Feld enthält, dessen Sichtbarkeit auf „Hidden“ gesetzt ist.

CVE-2026-92229 betrifft Forminator Forms in allen Versionen bis einschließlich 1.57.2. Hier geht es nicht um Dateiuploads, sondern um die Ausführung beliebiger Shortcodes. Auch dieser Angriff ist laut NVD ohne Authentifizierung möglich.

Für Unternehmen im DACH-Raum ist das kein rein theoretisches Thema. WordPress läuft häufig auf Kampagnen-, Bewerbungs-, Service- oder Microsites außerhalb der zentralen IT-Steuerung. Genau dort bleiben Plugins oft länger ungepflegt.

Technische Details

Bei CVE-2026-84434 liegt das Problem in Gravity Forms in der Verarbeitung von Datei-Uploads. NVD beschreibt eine inkonsistente Prüfung zwischen der Validierung eines Formularfelds und dem späteren Speichern der Datei. Konkret können versteckte Upload-Felder die Prüfung von Dateiendungen umgehen; anschließend wird der Upload-Zustand an die Funktion zum Speichern übergeben, ohne dass die Datei erneut sauber geprüft wird. Wenn ein öffentliches Formular mit einem versteckten Datei-Upload-Feld erreichbar ist, kann ein nicht angemeldeter Angreifer darüber potenziell ausführbare Dateien hochladen.

Der CVSS-Basiswert liegt bei 9.8 und damit im kritischen Bereich. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bedeutet: Der Angriff ist aus dem Netzwerk möglich, die Komplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig, und Vertraulichkeit, Integrität sowie Verfügbarkeit können schwer beeinträchtigt werden. Dieser Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch die tatsächliche Ausnutzung in Ihrer Umgebung.

Bei CVE-2026-92229 in Forminator geht es um unsichere Verarbeitung eines Werts vor dem Aufruf von do_shortcode. Dadurch können nicht angemeldete Angreifer beliebige Shortcodes ausführen. NVD bewertet die Lücke mit CVSS 9.1. Im Unterschied zur Gravity-Forms-Lücke nennt der Vektor hier keine schwere Auswirkung auf die Verfügbarkeit, wohl aber auf Vertraulichkeit und Integrität. Wie gravierend die Ausnutzung im Einzelfall ist, hängt stark davon ab, welche Shortcodes auf der jeweiligen Website vorhanden sind und welche Funktionen diese auslösen.

Wer ist betroffen?

Betroffen sind WordPress-Installationen mit den jeweiligen Plugins in verwundbaren Versionen:

  • Gravity Forms: alle Versionen bis einschließlich 3.1.0.4 betroffen von CVE-2026-84434
  • Forminator Forms – Contact Form, Payment Form & Custom Form Builder: alle Versionen bis einschließlich 1.57.2 betroffen von CVE-2026-92229

Die praktische Reichweite unterscheidet sich jedoch.

Bei Gravity Forms ist die Konfiguration entscheidend: Ausnutzbar ist die Lücke laut NVD dann, wenn ein öffentlich erreichbares Formular ein Datei-Upload-Feld enthält und dieses Feld auf „Hidden“ gesetzt ist. Wer Gravity Forms zwar installiert hat, aber keine solchen Formulare anbietet, reduziert das unmittelbare Risiko deutlich. Wer Upload-Formulare für Bewerbungen, Support-Anfragen, Schadensmeldungen oder Dokumentenannahme online betreibt, sollte die Prüfung priorisieren.

Bei Forminator ist die Hürde in der Beschreibung allgemeiner gehalten. Da die Ausführung beliebiger Shortcodes ohne Anmeldung möglich sein soll, sollten Betreiber das Risiko nicht auf einzelne Sonderfälle herunterspielen. Besonders kritisch sind Seiten, auf denen Shortcodes in sicherheitsrelevante oder administrative Abläufe eingreifen könnten.

Für Privatnutzer spielt das nur eine Rolle, wenn sie selbst eine WordPress-Seite mit einem der betroffenen Plugins betreiben. Für klassische Endanwender ohne eigene Website ist das kaum relevant.

Empfohlene Maßnahmen

  1. Bestandsaufnahme sofort durchführen. Prüfen Sie zentral oder per Hosting-Inventar, ob Gravity Forms oder Forminator auf Ihren WordPress-Instanzen installiert sind. Berücksichtigen Sie dabei auch Fachbereichsseiten, Aktionsdomains, Recruiting-Portale und externe Agenturprojekte.
  2. Betroffene Versionen identifizieren. Gravity Forms bis 3.1.0.4 und Forminator bis 1.57.2 müssen als verwundbar behandelt werden. Ob bereits fehlerbereinigte Versionen bereitstehen, geht aus den hier vorliegenden NVD-Einträgen nicht hervor.
  3. Öffentlich erreichbare Formulare gezielt prüfen. Bei Gravity Forms sollten Sie alle Formulare mit Datei-Upload-Feldern überprüfen, insbesondere wenn Felder absichtlich verborgen wurden. Bis zur Bereinigung sollten solche Formulare deaktiviert oder Upload-Funktionen entfernt werden, falls ein Update nicht sofort möglich ist.
  4. Forminator-Einsatz kurzfristig absichern. Wenn das Plugin auf produktiven Seiten aktiv ist und kurzfristig kein Update möglich ist, sollte die Angriffsfläche reduziert werden: betroffene Formulare vorübergehend offline nehmen, unnötige Shortcode-Funktionen entfernen und Änderungen an Formularinhalten eng kontrollieren.
  5. Webserver und Upload-Pfade kontrollieren. Suchen Sie nach unerwarteten Dateien in Upload-Verzeichnissen, temporären Verzeichnissen und pluginbezogenen Speicherorten. Prüfen Sie außerdem, ob auf Upload-Pfaden die Ausführung von Skripten unterbunden ist.
  6. Protokolle rückwirkend auswerten. Untersuchen Sie Webserver-, WAF- und WordPress-Logs auf auffällige Requests gegen Formular-Endpunkte, insbesondere auf ungewöhnliche Datei-Uploads, POST-Anfragen an öffentliche Formulare und verdächtige Parameter mit Shortcode-Inhalten.
  7. WordPress-Härtung nachziehen. Deaktivieren Sie nach Möglichkeit Skriptausführung in Upload-Verzeichnissen, erzwingen Sie restriktive Dateirechte und beschränken Sie administrative Änderungen an Plugins und Themes.

Einschätzung von CyberSecurity-News.de

Die Kombination ist heikel, weil beide Schwachstellen an typischen Internet-Eintrittspunkten sitzen: öffentliche Formulare. CVE-2026-84434 sticht klar heraus, weil aus einem Dateiupload unmittelbar Remotecodeausführung entstehen kann. Das ist für betroffene Konfigurationen hochkritisch und in der Praxis deutlich brisanter als viele abstrakte Plugin-CVEs.

Bei CVE-2026-92229 ist die Lage etwas weniger eindeutig, weil die tatsächlichen Folgen von den vorhandenen Shortcodes und deren Berechtigungsmodell abhängen. Die technische Schwere ist trotzdem hoch genug, um keine Zeit zu verlieren. Gerade in gewachsenen WordPress-Umgebungen weiß oft niemand mehr genau, welche Shortcodes über zusätzliche Plugins oder Eigenentwicklungen verfügbar sind.

Die Informationslage ist ordentlich für die Grundbewertung, aber nicht vollständig für die operative Umsetzung. NVD nennt die betroffenen Versionsstände und die Angriffsvoraussetzungen, liefert hier aber naturgemäß keine Herstelleranleitung für Patch-Pfade oder Indikatoren einer Kompromittierung. Für Admins bedeutet das: erst intern verifizieren, dann priorisiert absichern, statt auf perfekte Detailinformationen zu warten.

Fazit

Wer Gravity Forms oder Forminator in WordPress einsetzt, sollte jetzt prüfen, ob verwundbare Versionen aktiv sind und ob öffentlich erreichbare Formulare betroffen sind. Besonders Gravity Forms mit versteckten Datei-Upload-Feldern gehört sofort auf die Prioritätenliste. Wenn kein unmittelbares Update möglich ist, sollten riskante Formulare vorübergehend deaktiviert und Upload- sowie Shortcode-Funktionen so weit wie möglich eingeschränkt werden.

Quellenangabe