Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login

Michael Dobler

Autor Dr. Web

16. Oktober 2026

3 Min. Lesezeit

Im Formular-Plugin Forminator können Fremde bis Version 1.58.1 ohne Anmeldung Shortcodes einer WordPress-Website ausführen lassen, bei Block-Themes über eine Suchanfrage. Version 1.58.2 vom 14. Oktober schließt die Lücke. Laut wordpress.org liefen am 16. Oktober aber rund 62 Prozent der über 600.000 Installationen auf älteren Versionszweigen. Auch der Broken Link Checker desselben Herstellers WPMU DEV ist betroffen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 15. Oktober veröffentlichte Wordfence drei Lücken in zwei Plugins von WPMU DEV, alle von derselben Art. Zwei betreffen Forminator, CVE-2026-103911 und CVE-2026-101335, eine den Broken Link Checker mit mehr als 500.000 Installationen (CVE-2026-96562). An allen drei Meldungen war der Sicherheitsforscher Jakub Herman beteiligt.^[1]^[2]^[3]

Das Wichtigste in Kürze

Forminator bis 1.58.1 enthält zwei Shortcode-Lücken ohne Anmeldung, behoben in 1.58.2 (CVSS 3.1: je 6,5, vergeben von Wordfence).
Die weiter reichende Lücke greift auf jeder Website mit Block-Theme, auch ohne eingerichtetes Formular.
Im Broken Link Checker bis 2.4.14.1 greift der Angriff erst nach Freigabe eines präparierten Kommentars, 2.4.15 behebt den Fehler.
Angriffe sind bis zum 16. Oktober nicht bekannt.

Wie gelangen fremde Shortcodes in die Seite?

Weiße Lupe auf hellem Grund mit orangefarbenen Klammern und Anhänger — Forminator-Plugin durchsuchte Besuchereingaben in WordPress-Blöcken nach Shortcodes und ermöglichte Fremden unautorisierten Zugriff auf geschützte Inhalte

Shortcodes sind Kurzbefehle in eckigen Klammern, mit denen Plugins Formulare oder geschützte Inhalte in eine Seite setzen. Gefährlich wird ein Plugin, sobald es Text mit Eingaben von Besuchern nach solchen Befehlen durchsucht. Laut Wordfence tat Forminator genau das mit den Blöcken, die WordPress ausgibt. Bei Block-Themes bestehen auch Suchergebnisse und Kommentare aus Blöcken. Ein Fremder konnte so über seinen Suchbegriff oder einen anonymen Kommentar einen Shortcode einschleusen.^[1]

Die zweite Forminator-Lücke ist enger gefasst. Sie betrifft nur Quiz-Benachrichtigungen, die das Ergebnis als Platzhalter enthalten. Angaben, die der Besucher beim Absenden selbst bestimmt, erreichen dort ungefiltert die Shortcode-Verarbeitung.^[2] Den möglichen Schaden bestimmen laut Wordfence die übrigen Plugins und das Theme: Er reicht von fremden Inhalten auf der Seite bis zum Abfluss von Informationen. Ein Patch liegt vor, ausgenutzt werden die Lücken nach bisherigem Stand nicht.

Warum taucht dieselbe Art von Lücke in so vielen Plugins auf?

Im Broken Link Checker führt der Weg über die Kommentarmoderation. Ein Fremder versteckt den Shortcode in der Adresse eines Links oder Bildes. Gibt die Redaktion den Kommentar frei, führt das Plugin den Shortcode bei einer zeitgesteuerten Prüfung im Hintergrund aus.^[3] Laut Changelog verarbeitet Version 2.4.15 Shortcodes in Link- und Bildadressen nur noch in Inhalten von Nutzern, die Beiträge bearbeiten dürfen.^[4]

Dieselbe Lückenart fand sich binnen einer Woche auch in Click to Chat und Ocean Extra, Anfang Oktober in LatePoint. Häufig folgt der Fehler einem Muster: Ein Plugin bereinigt Besuchereingaben mit Funktionen, die HTML-Zeichen maskieren, eckige Klammern aber stehen lassen. Erst danach setzt es den Text in eine Vorlage ein und lässt WordPress dort nach Shortcodes suchen.^[2] Am 2. Oktober hatte Dr. Web über zwei Skript-Lücken ohne Login in Forminator berichtet, behoben in 1.57.2.1.

Shortcode-Lücken bei WPMU DEV im Steckbrief

Reichweite, Schweregrad und zeitlicher Ablauf, Stand 16. Oktober 2026

600.000+

aktive Installationen von Forminator laut wordpress.org

500.000+

aktive Installationen des Broken Link Checker laut wordpress.org

6,5

Punkte nach CVSS 3.1 vergibt Wordfence je Lücke, Angriff ohne Anmeldung

62 %

der Forminator-Installationen liefen am 16. Oktober auf Zweigen vor 1.58

Von der ersten Forminator-Lücke bis zur Offenlegung

17. September

Vorgänger

Forminator 1.57.2.1 schließt zwei Skript-Lücken ohne Login

13. Oktober

Patch I

Broken Link Checker 2.4.15 erscheint im Plugin-Verzeichnis

14. Oktober

Patch II

Forminator 1.58.2 erscheint mit einer Sicherheitskorrektur

15. Oktober

Offenlegung

Wordfence veröffentlicht drei Shortcode-Lücken in beiden Plugins

16. Oktober

Lage

Die NVD führt alle drei CVEs, Angriffe sind nicht bekannt

Ein Suchfeld darf nie zur Befehlszeile werden, auch nicht auf dem Umweg über ein Formular-Plugin.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Forminator auf 1.58.2 und den Broken Link Checker auf 2.4.15 oder neuer. Prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind. Beim Broken Link Checker liefen am 16. Oktober noch rund 11 Prozent der Installationen auf dem alten Zweig 1.11.^[4]^[5]
Shortcodes sichten: Heikel sind Shortcodes anderer Plugins, die Mitgliederinhalte, Bestellungen oder Formulareinträge ausgeben.
Kommentare zurückhalten: Geben Sie bis zum Update keine Kommentare mit auffälligen Link- oder Bildadressen frei.
Melden: Sind personenbezogene Daten an Fremde gelangt, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[6]

Agenturen mit vielen Kundenwebsites aktualisieren zuerst Installationen mit Block-Theme. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich bieten teils automatische Plugin-Updates an.

Was ist Forminator?

Forminator ist ein Formular-Plugin für WordPress von WPMU DEV. Betreiber bauen damit Kontakt-, Zahlungs- und Quizformulare sowie Umfragen. Laut wordpress.org läuft das Plugin auf mehr als 600.000 Websites.

Welche Version von Forminator ist sicher?

Sicher ist Version 1.58.2 vom 14. Oktober 2026 oder neuer. Alle Versionen bis einschließlich 1.58.1 enthalten die Lücken CVE-2026-103911 und CVE-2026-101335. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.

Welche Websites trifft die Forminator-Lücke?

CVE-2026-103911 greift laut Wordfence auf jeder Website mit Block-Theme, auch ohne eingerichtetes Formular. CVE-2026-101335 betrifft nur Quiz-Benachrichtigungen, die das Ergebnis als Platzhalter enthalten. Das Update empfiehlt sich für alle Installationen bis 1.58.1.

Ist auch der Broken Link Checker betroffen?

Ja, alle Versionen bis 2.4.14.1 enthalten die Lücke CVE-2026-96562. Ein Fremder versteckt einen Shortcode in einer Link- oder Bildadresse seines Kommentars, nach der Freigabe führt das Plugin ihn selbst aus. Version 2.4.15 vom 13. Oktober 2026 behebt den Fehler.

Werden die Lücken schon ausgenutzt?

Bis zum 16. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt keine der drei Lücken in ihrem Katalog aktiv ausgenutzter Schwachstellen. Ein Patch liegt für beide Plugins vor.