Popup Builder mit über 200.000 Installationen: Sicherheitslücke schickt alle Popups in den Papierkorb

Ein einziger Aufruf ohne Anmeldung genügte, um auf Websites mit dem WordPress-Plugin Popup Builder sämtliche veröffentlichten Popups in den Papierkorb zu verschieben. Wordfence stuft die Sicherheitslücke seit dem 30. Oktober als kritisch ein, die Datenbank WPScan bewertet denselben Fehler als niedrig. Version 4.4.6 vom 19. Oktober behebt ihn, am 4. November will WPScan Beispielcode für einen Angriff veröffentlichen.

Mit Popup Builder des Herstellers Looking Forward Software bauen Betreiber Bild- und HTML-Popups sowie Formulare für die Newsletter-Anmeldung. Laut wordpress.org läuft das Plugin auf über 200.000 Websites. Die Lücke trägt die Kennung CVE-2026-89270, Wordfence bewertet sie nach CVSS 3.1 mit 9,1 von 10 Punkten. Daten fließen dabei nicht ab, die Popups verschwinden aber von der Website.^[1]

Wie konnte ein Besucher die Popups wegräumen?

Popup Builder enthält eine Aufräumfunktion für Popups, deren Popup-Typ abgeschaltet ist, etwa weil eine kostenpflichtige Erweiterung fehlt. Bis Version 4.4.5 blendete die Funktion solche Popups nicht nur in der Liste im Backend aus, sondern verschob sie zugleich in den Papierkorb. Sie lief dabei auch bei Anfragen von außen und prüfte nicht, wer die Anfrage stellte.^[1]

Ein zweiter Fehler in der Vorschau weitete das auf alle Popups aus. Lief eine Anfrage im Vorschaumodus, hielt das Plugin jedes veröffentlichte Popup für nicht verfügbar, nicht nur das in der Vorschau. Laut Wordfence landeten so alle Popups der Website gleichzeitig im Papierkorb. Gemeldet hat die Lücke ein Sicherheitsforscher unter dem Pseudonym braintx, Wordfence informierte den Hersteller am 6. Oktober.^[1]

Unabhängig davon fand Raphael P. Cigana den Fehler und meldete ihn an WPScan. Die Datenbank veröffentlichte ihn am 21. Oktober, zwei Tage nach dem Update.^[3] Version 4.4.6 vom 19. Oktober lässt die Aufräumfunktion nur noch im Backend laufen und dort keine Daten mehr ändern, wie ein Vergleich des Quellcodes mit der Vorgängerversion zeigt. Die Vorschau gilt nur noch für das jeweilige Popup. Popups mit abgeschaltetem Typ landen seither nur noch im Papierkorb, wenn ein Administrator das über eine Meldung im Backend bestätigt.^[2]

Kritisch oder niedrig: Warum die Bewertungen so weit auseinanderliegen

Wordfence kommt auf 9,1, weil der Angriff ohne Konto, ohne Zutun eines Nutzers und über das Netz funktioniert und die Folgen für Integrität und Verfügbarkeit als hoch gelten. Vertrauliche Daten stehen nicht auf dem Spiel.^[1] WPScan stuft denselben Fehler mit 3,7 als niedrig ein, nennt aber nicht, wie sich der Wert zusammensetzt.^[3] Für Betreiber zählt weniger die Zahl als die Folge: Nach einem einzigen Aufruf sind Newsletter-Anmeldung und Aktionshinweise weg, bis jemand es bemerkt.

Zurückholen lassen sich die Popups über den Papierkorb, allerdings mit zwei Haken. Seit Version 5.6 setzt WordPress wiederhergestellte Beiträge standardmäßig auf Entwurf, jedes Popup muss also erneut veröffentlicht werden. Und ohne eigene Einstellung leert WordPress den Papierkorb nach 30 Tagen endgültig.^[5] Laut WPScan überschrieb Version 4.4.5 beim Verschieben zudem die gespeicherten Vorschaudaten der Popups.^[3]

Wie schnell Angreifer bei diesem Plugin zugreifen, zeigte sich im Dezember 2023. Zwei Tage nachdem WPScan eine Lücke in Popup Builder vor Version 4.2.3 beschrieben hatte, begann die Angriffswelle Balada Injector, Schadcode in Popups älterer Versionen einzuschleusen. Der Sicherheitsdienst Sucuri zählte im Januar 2024 über 6.200 befallene Websites.^[4] Mit dem aktuellen Fehler lässt sich kein Code einschleusen, er gehört aber zur selben Klasse wie die Lücke in Forminator, über die Fremde Formularentwürfe löschen konnten: Eine Funktion ändert Daten, ohne die Rechte des Anfragenden zu prüfen.

Was sollten Website-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Version 4.4.6 ein und prüfen Sie unter Plugins, ob automatische Updates für Popup Builder aktiv sind.
• Papierkorb prüfen: Sehen Sie in der Popup-Liste von Popup Builder nach, ob Popups im Papierkorb liegen, die dort nicht hingehören. Stellen Sie sie wieder her und veröffentlichen Sie sie danach erneut.
• Frist beachten: Holen Sie verschobene Popups binnen 30 Tagen zurück, danach löscht WordPress sie in der Standardeinstellung endgültig.
• Kundenwebsites einplanen: Agenturen sollten alle betreuten Installationen vor dem 4. November aktualisieren, dem Tag, an dem WPScan den Beispielcode veröffentlichen will.

Laut der Versionsstatistik von wordpress.org liefen am 31. Oktober 69,9 Prozent der Installationen auf der Versionsreihe 4.4, darunter auch die anfälligen Unterversionen bis 4.4.5. Die übrigen 30,1 Prozent verteilten sich auf ältere Reihen und sind durchweg anfällig.^[2] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht die Lücke nicht.^[6] Version 4.4.6 behebt laut Änderungsprotokoll zusätzlich einen Weg für Schadcode über die Namensfelder des Anmeldeformulars.^[2] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: Popup Builder mit über 200.000 Installationen: Sicherheitslücke schickt alle Popups in den Papierkorb

Quellen

Mehr Newshunger?

• Forminator mit über 600.000 Installationen: Sicherheitslücke lässt Fremde Formularentwürfe löschen
• Formidable Forms: Sicherheitslücke lässt Nutzer fremde Plugins installieren
• Enable Media Replace: Behobene Sicherheitslücke stand über drei Jahre wieder offen
• 400.000 WordPress-Sites infiziert: Wie ein Plugin-Käufer das Vertrauensmodell sprengt