In Formularen des WordPress-Plugins Forminator konnten Fremde ohne Konto die zwischengespeicherten Eingaben anderer Besucher löschen und durch eigene ersetzen. Wordfence machte die Sicherheitslücke am 30. Oktober öffentlich, Version 1.58.0 vom 30. September schließt sie. Betroffen sind nur Formulare, die das Speichern und spätere Fortsetzen erlauben.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Forminator stammt vom Hersteller WPMU DEV und läuft laut wordpress.org auf über 600.000 Websites. Es ist bereits die dritte Sicherheitsmeldung zu dem Formular-Plugin in diesem Monat: Anfang Oktober ging es um eingeschleusten Schadcode, Mitte Oktober um Shortcodes, die Fremde ohne Login ausführen konnten. Die neue Lücke trägt die Kennung CVE-2026-97638. Wordfence hat sie selbst gefunden und bewertet sie nach CVSS 3.1 mit 7,5 von 10 Punkten.[1]
Das Wichtigste in Kürze
- Forminator bis 1.57.3.1 lässt Fremde ohne Konto gespeicherte Formularentwürfe anderer Besucher löschen und überschreiben (CVSS 3.1: 7,5, vergeben von Wordfence).
- Der Angreifer braucht die Kennung eines Entwurfs, etwa aus einem weitergegebenen Link zum Fortsetzen des Formulars.
- Version 1.58.0 behebt den Fehler, rund die Hälfte der Installationen lief am 31. Oktober noch auf älteren Versionsreihen.
- Eine zweite Lücke bis Version 1.55.0.2 erlaubte das Löschen von Dateien im Upload-Ordner, Angriffe auf beide sind nicht bekannt.
Wie konnten Fremde Entwürfe überschreiben?
Bei langen Formularen, etwa Bewerbungen oder Anträgen, können Betreiber Besuchern erlauben, einen halb ausgefüllten Stand zu speichern und später weiterzumachen. Forminator legt dafür einen Entwurf an und gibt dem Besucher einen Link mit dessen Kennung, auf Wunsch per E-Mail. Ab Werk ist die Funktion in jedem Formular abgeschaltet.[2]
Laut Wordfence übernahm das Plugin beim Absenden die Kennung eines früheren Entwurfs aus der Anfrage, ohne zu prüfen, wem dieser Entwurf gehört. So konnten Angreifer einen fremden Entwurf löschen und dessen Kennung mit eigenen Angaben neu belegen. Hinter dem Link des Opfers standen danach die Angaben des Angreifers. Einen Sicherheitsschlüssel, der gefälschte Anfragen abwehren soll, konnte jeder Besucher von der Formularseite abrufen. Fachleute nennen diese Fehlerklasse eine unsichere direkte Objektreferenz: Ein Programm vertraut einer Nummer aus der Anfrage, statt den Besitz zu prüfen.[1]
Mitlesen konnten Angreifer die fremden Eingaben nach der Bewertung von Wordfence nicht. Der Wert von 7,5 beruht allein darauf, dass sich Daten ohne Anmeldung verändern lassen. Ausnutzen lässt sich die Lücke zudem nur mit der Kennung eines bestimmten Entwurfs, die Opfer etwa durch einen geteilten Link preisgeben.[1]
Was ändert Version 1.58.0?
Wordfence informierte WPMU DEV am 24. September, sechs Tage später erschien Version 1.58.0. Ein Vergleich des Quellcodes mit der Vorgängerversion 1.57.3.1 zeigt: Ein neuer Entwurf übernimmt keine fremde Kennung mehr. Das Änderungsprotokoll nennt dazu nur eine allgemeine Sicherheitshärtung. Aktuell ist Version 1.58.3 vom 21. Oktober.[2]
Über dieselbe Entwurfsfunktion lief eine zweite Lücke, die Wordfence am 29. Oktober öffentlich machte. Mit manipulierten Angaben zu hochgeladenen Dateien konnten Fremde ohne Konto beliebige Dateien im Upload-Ordner von WordPress löschen, ausgenommen PHP-Dateien, also etwa Bilder, PDFs und Anhänge aus Formularen (CVE-2026-5461, CVSS 3.1: 6,5). Gemeldet hat sie der Forscher Emiliano Versini am 3. April, behoben ist sie seit Version 1.55.1 vom 2. Juli.[3] Schon 2024 musste Forminator mit Version 1.29.0 eine Lücke schließen, über die Fremde gefährliche Dateitypen hochladen konnten (CVE-2024-28890).[4]
Formular-Plugins sind in diesem Herbst ein wiederkehrendes Einfallstor, weil sie Eingaben von Fremden annehmen und speichern müssen. Bei Everest Forms konnten Fremde gespeicherte Zugangsdaten auslesen, bei MW WP Form gespeicherte Anfragen. In Formidable Forms durften Nutzer mit Formularrechten fremde Plugins installieren.
Die Lücken im Zeitverlauf
Versionsreihen laut wordpress.org am 31. Oktober: 1.58 mit 48,7 Prozent, 1.57 mit 12,1 Prozent, ältere Reihen 39,2 Prozent. Status: offengelegt, Patch verfügbar, Angriffe nicht bekannt.
Betreiber, die das Zwischenspeichern anbieten, versprechen Besuchern, dass ihre Eingaben bis zur Rückkehr sicher liegen. Forminator hat dieses Versprechen bis zur Version 1.58.0 nicht eingelöst. Betreiber sollten jetzt prüfen, welche Formulare die Funktion überhaupt brauchen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 1.58.3 ein, mindestens aber 1.58.0, und prüfen Sie unter Plugins, ob automatische Updates für Forminator aktiv sind.
- Zwischenspeichern prüfen: Sehen Sie in den Einstellungen jedes Formulars nach, ob das Speichern und Fortsetzen aktiv ist. Schalten Sie es ab, wo Besucher es nicht brauchen.
- Dateien abgleichen: Lief auf Ihrer Website eine Version bis 1.55.0.2, vergleichen Sie die Mediathek und hochgeladene Formularanhänge mit einer Datensicherung.
- Meldepflicht prüfen: Auch gelöschte oder veränderte personenbezogene Daten gelten als Datenpanne. Stellen Sie das fest, ist eine Meldung binnen 72 Stunden zu prüfen (Art. 33 DSGVO).[6]
Laut der Versionsstatistik von wordpress.org liefen am 31. Oktober 48,7 Prozent der Installationen auf der Versionsreihe 1.58. Die übrigen gut 51 Prozent verteilten sich auf ältere Reihen, darunter 12,1 Prozent auf 1.57, und sind damit für CVE-2026-97638 anfällig, sofern sie das Zwischenspeichern nutzen.[2] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht keine der beiden Lücken.[5] Agenturen mit vielen Kundenwebsites sollten bei Formularen für Bewerbungen und Anträge beginnen. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Forminator mit über 600.000 Installationen: Sicherheitslücke lässt Fremde Formularentwürfe löschen
Welche Forminator-Versionen sind von der Sicherheitslücke betroffen?
Anfällig für CVE-2026-97638 sind alle Versionen bis 1.57.3.1, behoben ist sie seit 1.58.0 vom 30. September 2026. Die ältere Lücke CVE-2026-5461 betrifft Versionen bis 1.55.0.2. Aktuell ist Version 1.58.3.
Bin ich betroffen, wenn ich das Zwischenspeichern nicht nutze?
Beide Lücken laufen über die Entwürfe, die Forminator beim Speichern und späteren Fortsetzen eines Formulars anlegt. Die Funktion ist ab Werk abgeschaltet. Ein Update ist trotzdem ratsam, weil sie sich je Formular jederzeit einschalten lässt.
Können Angreifer fremde Formulareingaben mitlesen?
Nach der Bewertung von Wordfence nicht. Angreifer können einen fremden Entwurf löschen und dessen Kennung mit eigenen Angaben belegen. Dafür müssen sie die Kennung kennen, etwa aus einem weitergegebenen Link zum Fortsetzen des Formulars.
Wird die Sicherheitslücke in Forminator schon ausgenutzt?
Bis zum 31. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt weder CVE-2026-97638 noch CVE-2026-5461 in ihrem Katalog aktiv ausgenutzter Schwachstellen.
Muss ich gelöschte Entwürfe der Datenschutzbehörde melden?
Als Datenpanne gilt nach Art. 4 Nr. 12 DSGVO auch der Verlust oder die Veränderung personenbezogener Daten. Eine Meldung binnen 72 Stunden ist nötig, außer ein Risiko für Betroffene ist unwahrscheinlich. Dokumentieren Sie Ihre Bewertung.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WordfenceEintrag zu CVE-2026-97638 (Forminator <= 1.57.3.1), offengelegt am 30. Oktober 2026; dazu NVD: CVE-2026-97638
- wordpress.orgForminator, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 31. Oktober 2026; Quellcode der Versionen 1.55.0.2, 1.55.1, 1.57.3.1 und 1.58.0 aus dem Plugin-Verzeichnis
- WordfenceEintrag zu CVE-2026-5461 (Forminator <= 1.55.0.2), offengelegt am 29. Oktober 2026; dazu NVD: CVE-2026-5461
- JVN (JPCERT/CC)JVN50132400 zu CVE-2024-28890 (Forminator vor 1.29.0); NVD: CVE-2024-28890
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 31. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 12 und Art. 33
Mehr Newshunger?
- Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
- Wie gefährlich sind die Forminator-Lücken für über 600.000 WordPress-Installationen?
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
- MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
- Formidable Forms: Sicherheitslücke lässt Nutzer fremde Plugins installieren
