Fremde konnten über das PDF-Modul des WordPress-Plugins Ultra Addons for Contact Form 7 ohne Anmeldung beliebige Dateien vom Server lesen, darunter die Konfigurationsdatei mit den Datenbank-Zugangsdaten. Es ist die zweite Lücke im selben Modul binnen einer Woche. Version 3.5.55 vom 11. Oktober bereinigt die Eingaben, aktuell ist 3.5.57.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die US-Datenbank NVD hat den Eintrag CVE-2026-100386 am 10. November veröffentlicht, Wordfence bewertet ihn nach CVSS 3.1 mit 7,5 von 10 Punkten (hoch).[1] Ultra Addons for Contact Form 7 des Herstellers Themefic ergänzt das Formular-Plugin Contact Form 7 und läuft laut wordpress.org auf über 60.000 Websites (Stand 10. November).[2] Den Entdecker nennt der NVD-Eintrag nicht. Dr. Web hatte am 2. November über eine Lücke im selben Modul berichtet, die das Löschen von Dateien erlaubte.
Das Wichtigste in Kürze
- Betroffen sind alle Versionen bis 3.5.54. Angreifer brauchen kein Konto, die Folge ist das Auslesen beliebiger Dateien auf dem Server (CVSS 3.1: 7,5, Wordfence).
- Die Lücke besteht nur, wenn das PDF-Modul aktiv ist und ein Administrator für das Formular eine PDF-Vorlage eingerichtet hat.
- Angriffe sind bisher nicht bekannt. Die US-Behörde CISA führt CVE-2026-100386 am 10. November nicht in ihrem Katalog ausgenutzter Schwachstellen.
Warum liest ein PDF-Modul fremde Dateien?
Das Modul wandelt Formulareinsendungen in PDF-Dateien um und fügt die Eingaben der Besucher in eine Vorlage ein. Für die Umwandlung bringt das Plugin die freie Bibliothek mPDF mit. Enthält eine Eingabe Anweisungen, die die Bibliothek als Dateizugriff versteht, kann sie fremde Dateien einlesen.[1] Die Eingabe eines Besuchers wird so zur Anweisung an die PDF-Bibliothek. Welche Anweisungen das sind, nennt dieser Beitrag bewusst nicht.
Der Vergleich der Versionen 3.5.54 und 3.5.55 zeigt die Korrektur: Version 3.5.55 entfernt aus den Eingaben Steuerzeichen der Bibliothek und Protokollangaben für Dateizugriffe und wandelt HTML-Tags in harmlosen Text um.[3] Dieselbe Bereinigung nennt Dr. Web schon im Beitrag zur ersten Lücke. Das spricht für eine gemeinsame Ursache: Das Plugin vertraute Besuchereingaben in der Vorlage, einmal führte das zum Löschen, einmal zum Lesen von Dateien. Das Änderungsprotokoll spricht nur von Problemen, die Wordfence gemeldet habe.[4]
Vom Patch bis zum NVD-Eintrag
| Datum | Schritt |
|---|---|
| 11. Okt. | Version 3.5.55 bereinigt Eingaben im PDF-Modul |
| 27. Okt. | Version 3.5.56 mit weiteren Sicherheitskorrekturen |
| 1. Nov. | Version 3.5.57 ist die aktuelle Version |
| 2. Nov. | NVD veröffentlicht die erste Lücke im PDF-Modul (Löschen von Dateien) |
| 10. Nov. | NVD veröffentlicht die zweite Lücke (Lesen von Dateien) |
Daten aus dem NVD-Eintrag, dem Änderungsprotokoll und dem Quellcode auf wordpress.org. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Was ein Angreifer erbeuten kann, hängt vom Server ab. Auf WordPress-Websites liegen in der Konfigurationsdatei die Zugangsdaten zur Datenbank und die geheimen Schlüssel, mit denen WordPress Anmeldungen absichert. Auch rund um Formulare gab es zuletzt mehrere Meldungen: Beim Hauptplugin schloss ein Update eine Lücke im Datei-Upload von Contact Form 7, im Formular-Plugin JetFormBuilder stecken Lücken in Eingabefeldern.
Wer Besuchereingaben in eine Vorlage einsetzt, muss sie vorher waschen, sonst liest die Bibliothek mit.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Ultra Addons for Contact Form 7 in Version 3.5.55 oder neuer ein, aktuell ist 3.5.57. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Modul prüfen: Nutzen Sie das PDF-Modul nicht, schalten Sie es ab. Dann fehlt die Voraussetzung für den Angriff.
- Zugangsdaten tauschen: Lief eine Version bis 3.5.54 mit aktivem PDF-Modul, ändern Sie vorsorglich das Datenbank-Passwort und erneuern Sie die geheimen Schlüssel von WordPress. Prüfen Sie auf unbekannte Administratorkonten.
- Meldepflicht klären: Hängen an der Datenbank personenbezogene Daten, etwa Formulareinsendungen, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Agenturen mit vielen Kundensites sollten zuerst die Websites aktualisieren, auf denen Formulare PDF-Dateien erzeugen, etwa für Angebote oder Anträge. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich.
FAQ: Schwere Sicherheitslücke bei Ultra Addons for Contact Form 7
Welche Version von Ultra Addons for Contact Form 7 schließt die Lücke?
Version 3.5.55 vom 11. Oktober 2026 bereinigt die Eingaben im PDF-Modul, betroffen sind alle Versionen bis 3.5.54. Aktuell ist Version 3.5.57. Die installierte Version zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut dem NVD-Eintrag genügt ein Besuch ohne Anmeldung. Voraussetzung ist, dass das PDF-Modul aktiv ist und ein Administrator für das Formular eine PDF-Vorlage eingerichtet hat.
Was können Fremde über die Lücke erbeuten?
Beliebige Dateien, die der Webserver lesen darf. Dazu gehört auf WordPress-Websites die Konfigurationsdatei mit den Zugangsdaten zur Datenbank. Betreiber sollten diese Zugangsdaten und die geheimen Schlüssel erneuern.
Wird die Lücke schon ausgenutzt?
Bis zum 10. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-100386 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.
Quellen
5 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-100386, Beschreibung und Bewertung von Wordfence nach CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N), veröffentlicht am 10. November 2026
- wordpress.orgUltra Addons for Contact Form 7, aktive Installationen und Versionen, abgerufen am 10. November 2026
- wordpress.org: Quellcode der Versionen 3.5.54 und 3.5.55 im Plugin-Verzeichnis, eigener Vergleich am 10. November 2026
- wordpress.orgÄnderungsprotokoll von Ultra Addons for Contact Form 7 (Versionen 3.5.55 bis 3.5.57), abgerufen am 10. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
- Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
