Fremde konnten über das WordPress-Plugin Everest Forms ohne Anmeldung Dateien im Upload-Ordner einer Website löschen. Es ist die zweite Lücke im Plugin binnen zwei Wochen. Version 3.6.3 vom 15. Oktober sichert das Löschen ab, aktuell ist 3.6.4.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die US-Datenbank NVD hat den Eintrag CVE-2026-120513 am 10. November veröffentlicht, Wordfence bewertet ihn nach CVSS 3.1 mit 8,2 von 10 Punkten (hoch).[1] Everest Forms des Herstellers WPEverest läuft laut wordpress.org auf über 90.000 Websites (Stand 10. November).[2] Den Entdecker nennt der NVD-Eintrag nicht. Dr. Web hatte am 29. Oktober über eine Lücke berichtet, die gespeicherte Werte aus der Datenbank preisgab.
Das Wichtigste in Kürze
- Betroffen sind alle Versionen bis 3.6.2. Angreifer brauchen kein Konto, die Folge ist das Löschen von Dateien im Upload-Ordner (CVSS 3.1: 8,2, Wordfence).
- Die Lücke besteht nur, wenn das Zusatzmodul „Save and Continue“ aktiv ist und im Formular die Speicherung der Einsendungen abgeschaltet wurde.
- Angriffe sind bisher nicht bekannt. Die US-Behörde CISA führt CVE-2026-120513 am 10. November nicht in ihrem Katalog ausgenutzter Schwachstellen.
Wie wird ein Aufräumschritt zur Löschfunktion für Fremde?
Das Plugin löscht hochgeladene Dateien eines Formulars, sobald die E-Mail-Benachrichtigung verschickt ist und keine Einsendung gespeichert werden soll. Welche Dateien das sind, übernahm die Löschfunktion laut NVD-Eintrag aus Angaben der Anfrage, ohne die Dateipfade ausreichend zu prüfen.[1] Wer den Aufräumschritt mit eigenen Angaben füttert, bestimmt, was verschwindet. Wie das im Einzelnen aussieht, nennt dieser Beitrag bewusst nicht.
Der Vergleich der Versionen 3.6.2 und 3.6.3 zeigt die Korrektur: Die Löschfunktion entfernt nur noch Dateien, die die laufende Anfrage selbst hochgeladen hat.[3] Das Änderungsprotokoll nennt für Version 3.6.3 unter anderem eine Absicherung des Löschens hochgeladener Dateien, ohne eine Kennung oder Schwere zu nennen.[4] Es ist dieselbe Grundschwäche wie bei der Lücke vom Oktober: Das Plugin vertraute Angaben aus der Anfrage, damals beim Auslesen von Werten, jetzt beim Löschen von Dateien.
Vom Patch bis zum NVD-Eintrag
| Datum | Schritt |
|---|---|
| 15. Okt. | Version 3.6.3 sichert das Löschen hochgeladener Dateien ab |
| 29. Okt. | Dr. Web berichtet über die erste Lücke (Auslesen von Werten) |
| 5. Nov. | Version 3.6.4 ist die aktuelle Version |
| 10. Nov. | NVD veröffentlicht CVE-2026-120513 |
Daten aus dem NVD-Eintrag und dem Änderungsprotokoll auf wordpress.org. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Wie schwer der Schaden ausfällt, hängt vom Server ab. Im harmlosen Fall gehen hochgeladene Dateien verloren, etwa Anhänge von Bewerbungen oder Anfragen. Auf Apache-Servern mit gehärtetem Upload-Ordner sperrt eine Datei namens .htaccess die Ausführung von PHP. Wird sie gelöscht, entfällt diese Sperre, und auf der Website abgelegter Schadcode könnte laufen.[1] In seltenen Fällen reicht das Löschen laut NVD-Eintrag sogar bis ins Hauptverzeichnis der Website. Weitere Lücken in Formular- und Shop-Plugins hat Dr. Web zuletzt bei Formidable Forms und SureCart beschrieben.
Eine Löschfunktion muss wissen, was sie selbst angelegt hat, und alles andere in Ruhe lassen.
Michael Dobler, Herausgeber Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Everest Forms in Version 3.6.3 oder neuer ein, aktuell ist 3.6.4. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Voraussetzung prüfen: Nutzen Sie das Zusatzmodul „Save and Continue“ nicht, fehlt eine der beiden Bedingungen für den Angriff. Das Modul gehört nicht zum Plugin aus dem Verzeichnis auf wordpress.org, dessen Code prüft nur, ob es aktiv ist.[3]
- Upload-Ordner kontrollieren: Liegt die Datei
.htaccessnoch im Ordnerwp-content/uploads? Fehlt sie, stellen Sie sie aus einem Backup wieder her und suchen Sie im Ordner nach PHP-Dateien, die dort nichts zu suchen haben. - Fehlende Dateien einordnen: Fehlen hochgeladene Anhänge ohne erkennbaren Grund, vergleichen Sie den Bestand mit einem Backup.
- Meldepflicht klären: Gingen Dateien mit personenbezogenen Daten verloren, etwa Bewerbungsunterlagen, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Agenturen mit vielen Kundensites sollten zuerst die Websites aktualisieren, auf denen Formulare Dateien entgegennehmen, etwa Bewerbungs- oder Antragsformulare. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich.
FAQ: Schwere Sicherheitslücke bei Everest Forms
Welche Version von Everest Forms schließt die Lücke?
Version 3.6.3 vom 15. Oktober 2026 sichert das Löschen hochgeladener Dateien ab, betroffen sind alle Versionen bis 3.6.2. Aktuell ist Version 3.6.4. Die installierte Version zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut dem NVD-Eintrag genügt ein Besuch ohne Anmeldung. Voraussetzung ist, dass das Zusatzmodul „Save and Continue“ aktiv ist und im Formular die Speicherung der Einsendungen abgeschaltet wurde.
Was können Fremde über die Lücke anrichten?
Sie können Dateien im Upload-Ordner löschen, was hochgeladene Inhalte kostet. Auf gehärteten Apache-Servern kann das Löschen der Datei .htaccess die Sperre für PHP im Upload-Ordner aufheben. In seltenen Fällen reicht das Löschen bis ins Hauptverzeichnis.
Wird die Lücke schon ausgenutzt?
Bis zum 10. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-120513 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.
Quellen
5 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-120513, Beschreibung und Bewertung von Wordfence nach CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L), veröffentlicht am 10. November 2026
- wordpress.orgEverest Forms, aktive Installationen und Versionen, abgerufen am 10. November 2026
- wordpress.org: Quellcode der Versionen 3.6.2 und 3.6.3 im Plugin-Verzeichnis, eigener Vergleich am 10. November 2026
- wordpress.orgÄnderungsprotokoll von Everest Forms (Versionen 3.6.2 bis 3.6.4), abgerufen am 10. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
- Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
