Ohne Konto konnten Fremde über ein Formular des WordPress-Plugins Everest Forms gespeicherte Werte aus der Datenbank der Website abfragen, laut Wordfence auch Lizenzschlüssel, API-Token und Zugangsdaten für den Mailversand. Der erste Fix im September ließ sich umgehen. Erst Version 3.6.3 vom 15. Oktober schließt die Lücke.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenGefunden hat sie der Sicherheitsforscher Muhammad Nizar. Wordfence informierte den Hersteller WPEverest am 14. September und machte die Lücke am 28. Oktober öffentlich, seit dem 29. Oktober trägt sie die Kennung CVE-2026-91153.[1] Everest Forms ist ein Baukasten für Kontakt-, Zahlungs- und Umfrageformulare und läuft laut wordpress.org auf über 90.000 Websites (Stand 29. Oktober). Wordfence bewertet die Lücke nach CVSS 3.1 mit 5,3 von 10 Punkten (mittel).[2]
Das Wichtigste in Kürze
- Everest Forms bis Version 3.6.2 wertet Platzhalter aus, die ein Besucher in ein Formularfeld schreibt. Ohne Anmeldung lassen sich so nicht geschützte Metadaten von Beiträgen und Seiten auslesen (CVSS 3.1: 5,3, Wordfence).
- Version 3.6.2 vom 21. September sollte die Lücke schließen. Laut Hersteller konnte Wordfence den Schutz umgehen, weil der Fix den Feldtyp prüfte statt der Herkunft des Werts.
- Abgesichert ist erst Version 3.6.3. Angriffe sind bisher nicht bekannt, rund die Hälfte der Installationen lief am 29. Oktober noch auf älteren Versionsreihen.
Wie gelangen Fremde an die gespeicherten Werte?
Everest Forms kennt Platzhalter, im Plugin Smart Tags genannt. Ein Administrator kann damit etwa in ein verstecktes Formularfeld schreiben, dass beim Absenden der Seitentitel oder ein gespeicherter Wert des Beitrags eingesetzt wird. Solche Werte legt WordPress als Metadaten zu jedem Beitrag ab, und viele Plugins speichern dort auch Einstellungen. Das Plugin löste die Platzhalter aber im abgeschickten Wert auf, nicht in der Vorgabe des Administrators. Ein Besucher ohne Konto konnte deshalb selbst einen Platzhalter mitschicken und so beliebige, nicht geschützte Metadaten abfragen.[2] Laut Wordfence gehören dazu Lizenzschlüssel, API-Token, Zugangsdaten für den Mailversand und geheime Schlüssel für Stripe oder AWS, sofern ein Plugin sie dort ablegt.
Den ausgelesenen Wert schreibt das Plugin in die Benachrichtigungsmails und in den gespeicherten Eintrag.[2] Selbst zu Gesicht bekommt ihn ein Angreifer etwa dann, wenn das Formular dem Absender eine Kopie schickt oder nach dem Absenden eine Zusammenfassung der Angaben zeigt. Diese Zusammenfassung ist ab Werk ausgeschaltet, wie der Quellcode zeigt.[3] Auch die Nonce, ein Einmal-Kennzeichen gegen gefälschte Anfragen, hält Angreifer nicht auf: Laut Wordfence steht sie in jedem eingebundenen Formular offen im Quelltext.
Warum reichte der erste Fix nicht?
Version 3.6.2 vom 21. September beschränkte die Auswertung auf versteckte Felder und sperrte geschützte Metadaten, deren Name mit einem Unterstrich beginnt. Laut Hersteller konnte Wordfence diesen Fix umgehen. WPEverest erklärt das in seinem Pull Request auf GitHub, also der eingereichten Code-Änderung: Ein verstecktes Feld ist nur für Besucher unsichtbar, sein Wert wird wie jeder andere mit der Anfrage übertragen und lässt sich frei setzen. Am Feldtyp lässt sich nicht ablesen, wer den Wert geschrieben hat. Dabei fand WPEverest einen zweiten Umweg über sichtbare Felder, deren Inhalt in eine Mailvorlage eingesetzt wird.[4]
Version 3.6.3 setzt Platzhalter nur noch aus der Vorgabe ein, die der Administrator im Formular hinterlegt hat, und wertet eingesetzte Texte kein zweites Mal aus. Das zeigt der Vergleich der Versionen 3.6.2 und 3.6.3 im Plugin-Verzeichnis.[3] Das Änderungsprotokoll nennt dazu nur eine sicherere Auflösung der Platzhalter in versteckten Feldern.[5] Dasselbe Update schließt eine zweite Lücke, über die Fremde Skriptcode in einen präparierten Link einbauen konnten (CVE-2026-91152, CVSS 3.1: 6,1).[1]
Vom Hinweis bis zur Offenlegung
| Datum | Schritt |
|---|---|
| 14. Sept. | Wordfence informiert den Hersteller WPEverest |
| 21. Sept. | Version 3.6.2 mit erstem Fix, der sich umgehen lässt |
| 12. Okt. | Hersteller übernimmt den zweiten Fix in seinen Code |
| 15. Okt. | Version 3.6.3 schließt die Lücke |
| 28. Okt. | Wordfence macht die Lücke öffentlich |
Daten aus dem CVE-Eintrag von Wordfence, den Code-Änderungen des Herstellers auf GitHub und dem Änderungsprotokoll auf wordpress.org. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Für Everest Forms ist das kein Einzelfall. Die US-Datenbank NVD führt seit Januar 2026 mindestens 14 Schwachstellen im kostenlosen Plugin, darunter zwei mit 9,8 Punkten, über die Fremde ohne Konto präparierte PHP-Objekte einschleusen konnten, zuletzt in Version 3.6.0 im September.[6] Im Oktober meldete Dr. Web bereits neun Lücken im Registrierungs-Plugin User Registration & Membership desselben Herstellers. Wie heikel ungeschützte Metadaten sind, zeigte zuletzt die Lücke in Essential Addons for Elementor, die private Felder veröffentlichter Beiträge preisgab.
Was Besucher in ein Formular schicken, bleibt fremde Eingabe, auch wenn das Feld auf der Seite unsichtbar ist.
Michael Dobler, Herausgeber Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Everest Forms 3.6.3 ein. Version 3.6.2 genügt nicht, auch wenn ihr Änderungsprotokoll schon Sicherheitskorrekturen nennt. Prüfen Sie in der Plugin-Liste, ob automatische Updates für das Plugin aktiv sind.
- Schlüssel austauschen: Legen Plugins auf der Website Lizenzschlüssel, API-Token oder Zugangsdaten für den Mailversand als Metadaten von Beiträgen oder Seiten ab, erzeugen Sie neue Schlüssel und sperren Sie die alten. Das gilt besonders für Formulare, die Absendern eine Kopie schicken oder eine Zusammenfassung zeigen.
- Einträge sichten: Prüfen Sie gespeicherte Formulareinträge seit Mitte September auf auffällige Werte in versteckten Feldern, etwa Zeichenfolgen, die wie Schlüssel oder Passwörter aussehen.
- Meldepflicht klären: Konnte ein Angreifer mit erbeuteten Zugangsdaten auf ein Mailkonto oder einen Zahlungsdienst zugreifen, können dort auch personenbezogene Daten betroffen sein. Dann ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[7]
Bis zum 29. Oktober sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-91153 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Laut Versionsstatistik von wordpress.org lief knapp die Hälfte der Installationen am 29. Oktober auf der Versionsreihe 3.6, in der die Statistik anfällige und abgesicherte Versionen zusammenzählt. Die übrigen nutzen ältere Versionsreihen, die Wordfence alle als anfällig führt.[5] Agenturen mit vielen Kundensites sollten zuerst die Websites aktualisieren, deren Formulare dem Absender eine Kopie schicken. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
Welche Version von Everest Forms schließt die Lücke?
Version 3.6.3 vom 15. Oktober 2026 schließt die Lücke CVE-2026-91153. Version 3.6.2 vom September enthielt einen ersten Fix, den Wordfence laut Hersteller umgehen konnte. Welche Version läuft, zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut Wordfence genügt ein Besuch ohne Anmeldung. Der Angreifer schickt ein Formular ab, das Everest Forms auf der Website einbindet. Lesen kann er den Wert etwa, wenn das Formular dem Absender eine Kopie schickt.
Welche Daten können Fremde auslesen?
Nicht geschützte Metadaten von Beiträgen und Seiten. Laut Wordfence können darunter Lizenzschlüssel, API-Token, Zugangsdaten für den Mailversand und Schlüssel für Stripe oder AWS sein, falls ein Plugin sie dort speichert. Geschützte Felder mit Unterstrich sind seit 3.6.2 gesperrt.
Wird die Lücke schon ausgenutzt?
Bis zum 29. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-91153 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Wordfence hat die Lücke am 28. Oktober öffentlich gemacht.
Quellen
7 Quellen anzeigenQuellen ausblenden
- CVE-ProgrammCVE-2026-91153, Eintrag von Wordfence mit Finder und Zeitablauf (Hersteller informiert am 14. September, offengelegt am 28. Oktober 2026), veröffentlicht am 29. Oktober 2026; dazu CVE-2026-91152
- NVDCVE-2026-91153, Beschreibung und Bewertung von Wordfence nach CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N), veröffentlicht am 29. Oktober 2026
- wordpress.org: Quellcode der Versionen 3.6.2 und 3.6.3 von Everest Forms im Plugin-Verzeichnis, eigener Vergleich am 29. Oktober 2026
- WPEverest auf GitHubPull Request 1669 zur Auflösung der Platzhalter, zusammengeführt am 12. Oktober 2026, und Pull Request 1667 zum ersten Fix
- wordpress.orgEverest Forms, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 29. Oktober 2026
- NVDSchwachstellen mit dem Stichwort Everest Forms, darunter CVE-2026-3296 und CVE-2026-62103, abgerufen am 29. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
- Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
