Beim Plugin Redirection for Contact Form 7 von Themeisle konnten Besucher ohne Konto Auskunfts- und Löschanträge für fremde E-Mail-Adressen anlegen. Der Antrag stand beim Betreiber sofort als bestätigt da, obwohl der Inhaber der Adresse nie zugestimmt hatte. Version 3.2.16 schließt die Lücke, auf dem vollständig betroffenen Zweig 3.1 laufen laut wordpress.org aber noch 9,8 Prozent der mehr als 200.000 Installationen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsdatenbank WPScan hat am 9. November eine Sicherheitslücke im WordPress-Plugin Redirection for Contact Form 7 veröffentlicht, die NVD führt sie seit dem 11. November als CVE-2026-121873.[1][4] WPScan bewertet sie mit 5,3 von 10 Punkten (CVSS 3.1, mittel). Betroffen sind die Versionen 2.6.0 bis 3.2.15, behoben ist die Lücke in Version 3.2.16 vom 5. November.[1][3]
Das Wichtigste in Kürze
- Ein Besucher ohne Konto konnte über die Datenanfrage-Aktion des Plugins Anträge auf Auskunft oder Löschung für Adressen anlegen, die ihm nicht gehören.
- Die Anträge galten standardmäßig als bestätigt. Der sonst übliche Klick des Adressinhabers entfiel.
- Angriffe sind nicht bekannt, WPScan zeigt den Prüfcode ab dem 23. November.
Welche Bestätigung entfiel bei den Datenanfragen?
Der WordPress-Kern kennt Werkzeuge für Auskunfts- und Löschanträge nach der DSGVO. Eine Anfrage beginnt dort als ausstehend, der Inhaber der Adresse erhält eine E-Mail und bestätigt per Link.[5] Erst dann gilt der Antrag als echt. Der Link beweist, dass die Adresse dem Antragsteller gehört. Laut WPScan prüfte die Formularaktion von Redirection for Contact Form 7 diesen Besitz nicht und trug die Anfrage standardmäßig als bestätigt ein.[1]
Was daraus folgt, hängt vom Betreiber ab. WPScan beschreibt nur das Anlegen der Anträge. Wer einen Löschantrag ohne eigene Rückfrage abarbeitet, löscht womöglich Daten eines echten Kunden, bei einer Auskunft geht die Datei an eine Adresse, die nie danach gefragt hat. Die DSGVO verlangt eine Antwort binnen eines Monats, bei begründeten Zweifeln darf der Betreiber aber zusätzliche Angaben zur Identität anfordern.[6] Genau dafür dient die Bestätigungsmail.
Warum trifft es dieses Plugin immer wieder?
Das Plugin erweitert Formulare um Aktionen wie Weiterleitungen, Webhooks und Datenanfragen. Jede dieser Aktionen verarbeitet, was Fremde eintippen, und braucht deshalb ihre eigene Prüfung. Im Oktober ging es in unserer Meldung zu Redirection for Contact Form 7 um eingeschleusten Skriptcode, damals zählte die NVD seit August 2025 acht Lücken, jetzt kommt die neunte dazu. Das Änderungsprotokoll nennt für 3.2.16 nur „Enhanced security“, die Lücke selbst steht dort nicht.[3]
Wie viele Websites betroffen sind, bleibt offen. Laut wordpress.org liefen am 13. November 75,3 Prozent der Installationen auf dem Zweig 3.2, 9,8 Prozent auf 3.1 und 14,9 Prozent unter „andere“.[2] Der Zweig 3.1 liegt vollständig im betroffenen Bereich, im Zweig 3.2 mischen sich ungepatchte Versionen bis 3.2.15 mit den gepatchten 3.2.16 und 3.2.17.
Ein Löschantrag, den niemand bestätigt hat, ist kein Antrag, sondern eine Behauptung.
Markus Seyfferth, Chefredakteur Dr. Web
Der Ablauf bis heute
| Datum | Ereignis | Quelle |
|---|---|---|
| 5. November | Version 3.2.16 erscheint, WPScan führt sie als erste behobene Version | wordpress.org, WPScan |
| 9. November | WPScan veröffentlicht den Eintrag, Entdecker Akshat Parikh | WPScan |
| 11. November | NVD führt CVE-2026-121873 | NVD |
| 23. November | Prüfcode wird öffentlich | WPScan |
Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt. Betroffen sind die Versionen 2.6.0 bis 3.2.15.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 3.2.16 oder neuer ein, aktuell ist 3.2.17. Prüfen Sie, ob automatische Updates für das Plugin laufen.
- Offene Anträge ansehen: Öffnen Sie unter „Werkzeuge“ die Listen „Personenbezogene Daten exportieren“ und „Personenbezogene Daten löschen“. Anträge, die nicht über Ihre eigene Datenschutzseite kamen, sind verdächtig.
- Vor dem Bearbeiten nachfragen: Schreiben Sie die Adresse an und lassen Sie den Antrag bestätigen, bevor Sie etwas löschen oder verschicken.
- Datensicherung: Legen Sie vor jeder Löschung ein Backup an.
Agenturen mit vielen Kundenwebsites aktualisieren zuerst die Seiten, deren Formulare Datenanfragen annehmen. Passende Sicherungslösungen vergleicht der Überblick zu Backup-Plugins für WordPress, Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei Redirection for Contact Form 7
Welche Version von Redirection for Contact Form 7 schließt die Lücke?
Version 3.2.16 vom 5. November 2026 ist laut WPScan die erste behobene Version. Betroffen sind die Versionen 2.6.0 bis 3.2.15. Aktuell ist 3.2.17 vom 6. November.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut WPScan genügt ein Besucher ohne Anmeldung, der die Formularaktion für Datenanfragen nutzt. Er kann Anträge für Adressen anlegen, die ihm nicht gehören.
Wird die Lücke schon angegriffen?
Bis zum 13. November 2026 liegen keine Berichte über Angriffe vor, der Fall steht nicht im CISA-Katalog ausgenutzter Schwachstellen. WPScan veröffentlicht den Prüfcode am 23. November, Updates sollten vorher laufen.
Muss ich jeden Löschantrag prüfen, der über die Lücke kam?
Ja, bevor Sie etwas löschen. Die DSGVO erlaubt bei begründeten Zweifeln, zusätzliche Angaben zur Identität anzufordern (Art. 12 Abs. 6). Fragen Sie über die angegebene Adresse nach, lassen Sie den Antrag bestätigen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-121873, Redirection for Contact Form 7 2.6.0 bis 3.2.15, veröffentlicht am 9. November 2026, abgerufen am 13. November 2026
- wordpress.orgRedirection for Contact Form 7, aktive Installationen und Versionsverteilung, abgerufen am 13. November 2026
- wordpress.orgÄnderungsprotokoll von Redirection for Contact Form 7 (Versionen 3.2.16 und 3.2.17), abgerufen am 13. November 2026
- NVDCVE-2026-121873, aufgenommen am 11. November 2026
- WordPress Developer Resourceswp_create_user_request(), abgerufen am 13. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 12
Mehr Newshunger?
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
- Sicherheitslücke bei Contact Form 7 im Datei-Upload
- Ultra Addons for Contact Form 7 mit über 60.000 Installationen: Kritische Sicherheitslücke ließ Fremde Dateien löschen
- Schwere Sicherheitslücke bei JetFormBuilder
- Schwere Sicherheitslücke bei Forminator in Registrierungsformularen
- Sicherheitslücken bei ProfilePress in Mitgliedschaften
