Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen

Über das Formular-Plugin Gravity Forms können Fremde ohne Anmeldung präparierte PHP-Objekte in eine WordPress-Website einschleusen, sofern ein Formular aus den Formulareinträgen Beiträge anlegt. Wordfence bewertet die Lücke mit 9,8 von 10 Punkten. Version 3.1.3 vom 1. Oktober schließt sie, automatisch kommt das Update aber nur mit gültiger Lizenz.

Gemeldet haben die Lücke die Sicherheitsforscher Tin Pham, Hao Ngo und Trong Pham. Wordfence informierte den Hersteller am 30. September und machte sie am Abend des 29. Oktober öffentlich, seit dem 30. Oktober trägt sie die Kennung CVE-2026-103039.^[1] Wordfence bewertet sie nach CVSS 3.1 mit 9,8 Punkten, also kritisch.^[2] Am selben Abend legte Wordfence zwei weitere Lücken in Gravity Forms offen, über die Fremde Skriptcode einschleusen können (Cross-Site-Scripting, kurz XSS). Das kostenpflichtige Plugin steht nicht im Verzeichnis von wordpress.org. Laut Hersteller läuft es auf mehr als 5 Millionen Websites.^[5]

Welche Formulare sind angreifbar?

Gravity Forms kann aus jedem Formulareintrag einen WordPress-Beitrag anlegen, etwa für Veranstaltungshinweise, Kleinanzeigen oder Gastbeiträge. Dafür gibt es eigene Beitragsfelder für Titel, Text, Auszug und benutzerdefinierte Felder, also Zusatzangaben zum Beitrag. Ein solches Zusatzfeld lässt sich als Liste mit mehreren Zeilen anlegen und über eine Inhaltsvorlage formatieren. Genau in dieser Kombination übergab das Plugin den übermittelten Wert ungeprüft an eine allgemeine Funktion von WordPress, die gespeicherte Daten zurück in PHP-Objekte verwandelt. Laut Wordfence gelangte der Wert dabei unverändert in die Datenbank.^[1]

Ein eingeschleustes Objekt richtet erst Schaden an, wenn PHP beim Laden Programmteile ausführt, die der Angreifer für sich nutzen kann. Gravity Forms selbst enthält laut Wordfence keine solchen Programmteile, ein anderes Plugin oder Theme kann sie aber mitbringen. Speichert das Zusatzfeld seinen Wert als Seitenvorlage des Beitrags, liefert WordPress selbst das Werkzeug. Auf Servern mit einer lesbaren Installation der älteren PHP-Bibliothekssammlung PEAR und einer bestimmten PHP-Einstellung können Angreifer so laut Wordfence eigenen Code ausführen.^[1] Dabei hatte der Hersteller die sichere Variante schon gebaut: Seit Version 3.1.1 bringt Gravity Forms eine eigene, abgesicherte Funktion mit, die das Erzeugen von Objekten unterbindet. An dieser Stelle nutzte das Plugin sie nicht.

Warum kam das Update vier Wochen vor der Warnung?

Wordfence informiert Hersteller vorab und veröffentlicht Details erst, wenn eine abgesicherte Version bereitsteht und Betreiber Zeit zum Aktualisieren hatten. Den Hersteller erreichte die Meldung zur kritischen Lücke am 30. September, Version 3.1.3 erschien am 1. Oktober. Ihr Änderungsprotokoll nennt nur „Sicherheitsverbesserungen“, ohne Kennung und ohne Schweregrad.^[4] Betreiber, die Updates von Hand freigeben, konnten der Version also nicht ansehen, wie dringend sie war. Die beiden übrigen Lücken meldeten Forscher am 11. und am 24. September. Die erste betrifft Versionen bis 3.1.1 und ist seit 3.1.2 vom 17. September geschlossen, die zweite betrifft wie die kritische Lücke Versionen bis 3.1.2.^[3]

Beide XSS-Lücken folgen demselben Muster. Bestimmte Beitragsfelder und Listenfelder nehmen HTML an, das beim Speichern harmlos aussieht. Erst die Bedienoberfläche von Gravity Forms im Backend wandelt es zurück in ausführbaren Code. Bei der Listenfeld-Lücke muss eine Administratorin oder ein Administrator in der Detailansicht eines Eintrags auf einen Link klicken und eine Rückfrage bestätigen.^[3] Die Beitragsfelder fielen schon früher auf: Anfang September erschien eine fast gleich gebaute Lücke im Feld für den Beitragstext. Insgesamt führt die US-Datenbank NVD für Gravity Forms in diesem Jahr 15 Schwachstellen, zwei davon mit 9,8 Punkten. Die zweite ermöglichte im September Datei-Uploads ohne Anmeldung.^[7] Eingeschleuste PHP-Objekte machten im Oktober auch LearnPress und Rank Math angreifbar.

Der Hersteller verteilt Gravity Forms über einen eigenen Update-Dienst. Laut Dokumentation installiert WordPress neue Versionen nur dann automatisch, wenn die Website einen gültigen Lizenzschlüssel hinterlegt hat.^[6] Läuft die Lizenz aus, etwa weil eine Agentur die Website übergeben hat und niemand verlängert, bleibt die installierte Version stehen. Wie viele Websites noch eine anfällige Version nutzen, ist deshalb nicht bekannt: Anders als bei Plugins aus dem Verzeichnis von wordpress.org gibt es keine öffentliche Versionsstatistik.

Was sollten Website-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie mindestens Gravity Forms 3.1.3 ein, aktuell ist Version 3.2.1 vom 28. Oktober. Die installierte Version steht in der Plugin-Liste.
• Lizenz prüfen: Kontrollieren Sie in den Einstellungen von Gravity Forms, ob ein gültiger Lizenzschlüssel hinterlegt und die Option für automatische Hintergrund-Updates eingeschaltet ist. Ohne Lizenz kommt kein Update über das Backend, dann bleibt nur das manuelle Einspielen aus dem Kundenkonto des Herstellers.
• Beitragsfelder prüfen: Suchen Sie Formulare, die Beiträge anlegen und ein benutzerdefiniertes Feld vom Typ Liste mit Inhaltsvorlage nutzen. Brauchen Sie die Funktion nicht, entfernen Sie das Feld, bis das Update eingespielt ist.
• Spuren suchen: Lief eine anfällige Version mit solchen Formularen, prüfen Sie über Formulare angelegte Beiträge auf ungewöhnliche Seitenvorlagen, die Benutzerliste auf unbekannte Administratorkonten und die Website-Dateien auf Änderungen.
• Meldepflicht klären: Formulare sammeln meist Namen und Kontaktdaten. Gibt es Anzeichen, dass Unbefugte Code ausgeführt haben, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nach Kenntnis nötig ist (Art. 33 DSGVO).^[8]

Bis zum 30. Oktober sind keine Angriffe bekannt, und die US-Behörde CISA führt keine der drei Lücken in ihrem Katalog aktiv ausgenutzter Schwachstellen. Die Lücke ist damit öffentlich bekannt und behoben, ausgenutzt wird sie nach heutigem Stand nicht. Öffentlicher Angriffscode ist nicht bekannt, doch die Beschreibung von Wordfence nennt Funktionen und Bedingungen recht genau. Agenturen mit vielen Kundenwebsites sollten zuerst Formulare aktualisieren, die Beiträge anlegen, und dabei auslaufende Lizenzen gleich mitprüfen. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen

Quellen

Mehr Newshunger?

• Gravity Forms: Kritische Upload-Lücke ermöglicht Codeausführung ohne Login
• LearnPress mit über 70.000 Installationen: kritische Lücke im Bezahlvorgang
• MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
• WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst