Ein Registrierungsformular von Forminator, das für eine Rolle Geld verlangt, ließ Fremde ohne Zahlung durch, sobald die Verbindung zum Zahlungsanbieter fehlte. Die Rolle, die der Betreiber dem Formular zugewiesen hatte, bekamen sie gratis, im ungünstigsten Fall die des Administrators. Version 1.58.4 schließt die Lücke in einem Plugin mit mehr als 600.000 aktiven Installationen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
WPMU DEV hat am 29. Oktober mit Forminator 1.58.4 eine Sicherheitslücke in Registrierungsformularen mit Bezahlschranke geschlossen. Die Sicherheitsfirma WPScan hat den Fall am 9. November als CVE-2026-111579 veröffentlicht und mit 8,1 von 10 Punkten als hoch eingestuft, die NVD führt den Eintrag seit dem 11. November.[1][4] Das Änderungsprotokoll vermerkt die Korrektur nur als Sicherheitshärtung und nennt dieselben beiden Entdecker.[2] Forminator läuft laut wordpress.org auf mehr als 600.000 Websites (Stand 11. November).[3]
Das Wichtigste in Kürze
- Betroffen sind laut WPScan die Versionen 1.58.0 bis 1.58.3, behoben ist die Lücke in 1.58.4. Ausnutzen kann sie jeder ohne Konto.
- Gefährdet sind nur Registrierungsformulare mit Bezahlschranke, deren Zahlungsanbieter nicht verfügbar ist. Vergeben wird die Rolle, die das Formular zuweist, bis hin zum Administrator.
- Ein zweiter Fall (CVE-2026-111597, 5,3, mittel) legt Weiterleitungsadresse und Dankesnachricht eines unbezahlten Stripe-Formulars offen.
- Angriffe sind nicht bekannt. WPScan veröffentlicht die Beschreibungen mit Prüfcode am 23. November und am 9. Dezember.
Warum gab das Formular die Rolle ohne Zahlung heraus?
Das Registrierungsformular legt ein Konto an und weist ihm eine Rolle zu, kassiert wird über Stripe. Laut WPScan erzwang Forminator die Zahlung auf dem Server nicht, wenn der eingerichtete Zahlungsanbieter nicht verfügbar war. WPScan beschreibt den Fall so, dass der Anbieter zuerst verbunden und später wieder getrennt wurde.[1] Das Formular nahm Anmeldungen weiter an und gab die Rolle frei. Eine Bezahlschranke gilt nur, solange der Server die Zahlung selbst bestätigt. Fehlt die Antwort des Anbieters, muss ein Formular geschlossen bleiben.
Der zweite Fall betrifft dieselben Versionen. Forminator prüfte laut WPScan nicht, ob eine Zahlung über den Stripe-Checkout abgeschlossen war, bevor es die Antwort auf eine ausstehende Anmeldung auslieferte. Fremde erhielten so die Weiterleitungsadresse und die Dankesnachricht eines Bezahlformulars (CVE-2026-111597, 5,3, mittel).[1] Heikel wird das nur, wenn die Adresse selbst zu einem Download oder Mitgliederbereich führt.
Der Fehler steht nicht allein. WPScan hat am selben Tag zwei weitere Plugins mit Rollen ohne Bezahlung aufgeführt. User Registration & Membership (mehr als 50.000 Installationen) behandelte eine Bestellung mit ungültigem Gutschein als bezahlt, behoben ist das in Version 5.3.2. ProfilePress (mehr als 100.000) ließ Besucher über eine negative Tarifkennung in deaktivierte Tarife eintragen, behoben in Version 4.17.6.[5] Gemeinsam ist den Fällen, dass die Rolle vergeben wird, ohne dass der Server eine bestätigte Zahlung geprüft hat.
Die zwei Fälle im Vergleich
| Kennung | Folge | Voraussetzung | Wert |
|---|---|---|---|
| CVE-2026-111579 | Rolle des Formulars ohne Zahlung, bis zum Administrator | kein Konto, Zahlungsanbieter nicht verfügbar | 8,1 hoch |
| CVE-2026-111597 | Weiterleitungsadresse und Dankesnachricht ohne Zahlung | kein Konto, Stripe-Checkout | 5,3 mittel |
Bewertungen laut WPScan. Status: offengelegt am 9. November, Korrektur seit 29. Oktober verfügbar, Angriffe nicht bekannt, Prüfcode erst ab 23. November und 9. Dezember öffentlich.
Wie viele Websites das trifft, lässt sich nicht beziffern. Betroffen ist nur die jüngste Versionsreihe 1.58.0 bis 1.58.3 und davon nur Formulare, die Registrierung und Zahlung verbinden. Laut wordpress.org liefen am 11. November rund 52 Prozent der Installationen auf der Reihe 1.58 und rund 10 Prozent auf 1.57, die WPScan nicht als betroffen nennt.[3] Wie viele davon schon 1.58.4 haben, verrät die Statistik nicht. Für Forminator ist es die vierte Meldung seit Anfang Oktober: Dr. Web hat über eine Cross-Site-Scripting-Lücken, über Shortcodes ohne Login und über gelöschte Formularentwürfe berichtet.
Eine Bezahlschranke, die nur gilt, solange der Zahlungsanbieter antwortet, ist ein Türschild. Fällt Stripe aus, muss die Tür zubleiben.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber von Bezahlformularen jetzt tun?
- Aktualisieren: Spielen Sie Forminator in Version 1.58.4 oder neuer ein. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Formulare prüfen: Welche Registrierungsformulare verlangen eine Zahlung? Testen Sie die Verbindung zu Stripe und nehmen Sie ein Formular bis zum Update vom Netz, wenn die Verbindung getrennt ist.
- Konten abgleichen: Vergleichen Sie die Konten mit bezahlter Rolle, die seit dem Update auf 1.58.0 entstanden sind, mit den Zahlungseingängen in Stripe. Unbekannte Administratoren sperren Sie sofort.
- Rollen begrenzen: Verknüpfen Sie ein öffentliches Registrierungsformular nie mit der Rolle Administrator oder Redakteur.
- Meldepflicht klären: Ist ein Konto mit weitreichenden Rechten ohne Zahlung entstanden, prüfen Sie, ob personenbezogene Daten zugänglich waren und eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).[6]
Agenturen mit vielen Kundenwebsites sollten zuerst die Websites aktualisieren, auf denen Forminator Mitgliedschaften oder Kurse verkauft. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei Forminator
Welche Forminator-Version schließt die Sicherheitslücke?
Version 1.58.4 vom 29. Oktober 2026 schließt sie, betroffen sind laut WPScan die Versionen 1.58.0 bis 1.58.3. Die installierte Version zeigt die Plugin-Liste im WordPress-Backend.
Sind alle Forminator-Formulare betroffen?
Nein, laut WPScan nur Registrierungsformulare mit Bezahlschranke, deren Zahlungsanbieter nicht verfügbar ist, etwa weil die Stripe-Verbindung getrennt wurde. Formulare ohne Zahlung sind nicht betroffen.
Wird die Sicherheitslücke schon ausgenutzt?
Bis zum 11. November 2026 liegen keine Berichte über Angriffe vor, der Fall steht nicht im CISA-Katalog ausgenutzter Schwachstellen. WPScan veröffentlicht die Beschreibung mit Prüfcode am 9. Dezember, Updates sollten vorher laufen.
Wie finden Betreiber Konten, die ohne Zahlung entstanden sind?
Vergleichen Sie die Konten mit bezahlter Rolle seit dem Update auf 1.58.0 mit den Zahlungseingängen in Stripe. Unbekannte Administratoren sollten Sie sofort sperren und die Zugangsdaten erneuern.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-111579 und CVE-2026-111597, veröffentlicht am 9. November 2026, abgerufen am 11. November 2026
- wordpress.orgÄnderungsprotokoll von Forminator (Version 1.58.4 vom 29. Oktober 2026), abgerufen am 11. November 2026
- wordpress.orgForminator, aktive Installationen und Versionsverteilung, abgerufen am 11. November 2026
- NVDCVE-2026-111579 und CVE-2026-111597, aufgenommen am 11. November 2026
- WPScanCVE-2026-109870 (User Registration & Membership) und CVE-2026-123657 (ProfilePress), abgerufen am 11. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Forminator mit über 600.000 Installationen: Sicherheitslücke lässt Fremde Formularentwürfe löschen
- Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
- Schwere Sicherheitslücke bei JetFormBuilder
- Schwere Sicherheitslücke bei Everest Forms im Datei-Upload
- Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
- Ninja Forms mit über 500.000 Installationen: Vier neue Sicherheitslücken, drei davon ohne Anmeldung
