Drei der vier Lücken, die Wordfence am 30. Oktober in Ninja Forms offengelegt hat, lassen sich ohne Anmeldung ausnutzen. Fremde konnten über ein Formularfeld Shortcodes ausführen und Schadcode in gespeicherte Formulareingaben schreiben. Version 3.15.6 schließt alle vier, seit dem 21. September sind elf Lücken im Plugin bekannt geworden.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 30. Oktober vier Einträge zum WordPress-Plugin Ninja Forms des Herstellers Saturday Drive veröffentlicht, betroffen sind alle Versionen bis 3.15.5. Laut wordpress.org läuft das Plugin auf über 500.000 Websites. Am schwersten wiegt CVE-2026-109997 mit 7,2 von 10 Punkten nach CVSS 3.1.[1]
Das Wichtigste in Kürze
- Ohne Konto ließ sich Schadcode in gespeicherte Formulareingaben schreiben (CVSS 3.1: 7,2, vergeben von Wordfence) und über die Erfolgsmeldung Shortcodes ausführen (6,5).
- Version 3.15.6 vom 15. Oktober behebt alle vier Lücken, Version 3.15.7 enthält weitere Sicherheitskorrekturen.
- Angriffe auf die neuen Lücken sind nicht bekannt, Anfang Oktober nutzten Angreifer eine ältere Lücke im Plugin aus.
Wie konnte ein Formularfeld Shortcodes ausführen?
Ninja Forms zeigt nach dem Absenden eine Erfolgsmeldung, in die Betreiber Platzhalter für Eingaben einbauen können, etwa den Namen des Absenders. Bis 3.15.5 setzte das Plugin die Eingaben ein und schickte den Text danach durch die Shortcode-Verarbeitung von WordPress. Stand in einem Feld ein Shortcode, führte die Website ihn aus. Shortcodes rufen Funktionen anderer Plugins auf, die sonst nur Redakteure in Seiten einbauen. Gemeldet hat das ein Sicherheitsforscher, der sich Kuba nennt.[1]
Ein Vergleich des Quellcodes von 3.15.5 und 3.15.6 zeigt einen zweiten Fehler an derselben Stelle: Das Plugin maskierte Eingaben in Erfolgsmeldung und E-Mail nur, wenn die Einstellungen einen bestimmten Eintrag enthielten. Laut einem Kommentar der Entwickler fehlt dieser in gespeicherten Formularen. Version 3.15.6 maskiert immer und entschärft eingesetzte Shortcodes.[2]
Die schwerste Lücke betrifft gespeicherte Formulareingaben. Schadcode in deren Zusatzdaten wurde im Backend ausgeführt, sobald jemand den Eintrag öffnete. Wordfence informierte den Hersteller am 13. Oktober, zwei Tage später lag der Fix vor.[1]
Elf Lücken in sechs Wochen: Warum Formular-Plugins so oft betroffen sind
Wordfence führt seit dem 21. September elf Lücken in Ninja Forms, zehn davon ohne Anmeldung ausnutzbar.[1] Am 2. Oktober berichtete Dr. Web über sieben davon, wenige Tage später versteckten Angreifer Administratorkonten über eine dieser Lücken.[4] Fast alle Fehler ähneln sich: Eingaben von Besuchern landen ungeprüft in Text, den das Plugin später anzeigt oder weiterverarbeitet. Ähnliches traf zuletzt Everest Forms.
Am 16. Oktober, einen Tag nach 3.15.6, zählte wordpress.org 191.878 Downloads, rund das Vierzigfache des Vortags. Am 2. November liefen 54,0 Prozent der Installationen auf der Reihe 3.15, darunter auch anfällige Unterversionen. Die übrigen 46 Prozent nutzten ältere Reihen und sind durchweg anfällig.[2]
Von der ersten Meldung bis zur Offenlegung
Angriffe auf die vier neuen Lücken sind bis zum 2. November nicht bekannt.
Ein Kontaktformular ist die einzige Tür, die jede Website für Fremde offen lassen muss. Elf Lücken in sechs Wochen zeigen, wie dringend Formular-Plugins automatische Updates brauchen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 3.15.7 ein und schalten Sie automatische Updates für Ninja Forms ein.
- Formulareingaben prüfen: Achten Sie auf Einträge seit September mit Shortcodes oder Code in Textfeldern.
- Konten prüfen: Suchen Sie nach unbekannten Administratorkonten und Plugins, auch im Ordner mu-plugins.
- Meldepflicht klären: Bei Anzeichen eines Einbruchs mit personenbezogenen Formulardaten gilt die 72-Stunden-Frist nach Art. 33 DSGVO.
- Kundenwebsites: Agenturen aktualisieren am besten alle betreuten Installationen gesammelt.
Version 3.15.7 prüft laut Änderungsprotokoll zusätzlich beim Absenden, ob ein Formular nur angemeldeten Nutzern offensteht.[2] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht keine der vier Lücken.[3] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Ninja Forms mit über 500.000 Installationen: Vier neue Sicherheitslücken, drei davon ohne Anmeldung
Welche Version von Ninja Forms ist sicher?
Version 3.15.6 vom 15. Oktober 2026 behebt die vier Lücken, die Wordfence am 30. Oktober offengelegt hat. Die aktuelle Version 3.15.7 vom 26. Oktober enthält zusätzliche Sicherheitskorrekturen. Alle Versionen bis einschließlich 3.15.5 sind anfällig.
Was konnten Angreifer ohne Anmeldung tun?
Sie konnten Schadcode in gespeicherte Formulareingaben schreiben, der beim Öffnen im Backend ausgeführt wurde, über die Erfolgsmeldung eines Formulars Shortcodes ausführen und mit einem präparierten Link Schadcode im Browser eines Besuchers ausführen.
Werden die neuen Lücken schon ausgenutzt?
Bis zum 2. November 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt keine der vier Lücken als aktiv ausgenutzt. Anfang Oktober legten Angreifer über eine ältere Lücke in Ninja Forms versteckte Administratorkonten an.
Muss ich nach dem Update noch etwas prüfen?
Ja. Sehen Sie Formulareingaben seit September auf Shortcodes oder Code in Textfeldern durch und suchen Sie nach unbekannten Administratorkonten und Plugins. Gibt es Anzeichen für einen Einbruch, prüfen Sie die Meldepflicht nach Art. 33 DSGVO.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Wordfence: Einträge zu CVE-2026-109997, CVE-2026-100155, CVE-2026-100151 und CVE-2026-101326 (Ninja Forms <= 3.15.5), offengelegt am 30. Oktober 2026, mit Liste der früheren Lücken im Plugin; dazu NVD: CVE-2026-109997
- wordpress.orgNinja Forms, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 2. November 2026; Quellcode der Versionen 3.15.5, 3.15.6 und 3.15.7 aus dem Plugin-Verzeichnis
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 2. November 2026
- PatchstackFour ways back in: the WordPress XSS campaign that hides its own admin account
Mehr Newshunger?
- Ninja Forms mit über 500.000 Installationen: Angreifer verstecken Admin-Konten
- Ninja Forms: Sieben Lücken ohne Login seit September bei über 600.000 WordPress-Sites
- Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
- MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
