WPForms mit über 5 Millionen Installationen: dritte Lücke ohne Login in 15 Tagen

Markus Seyfferth

Autor Dr. Web

12. Oktober 2026

3 Min. Lesezeit

Im Formular-Plugin WPForms mit über 5 Millionen aktiven Installationen hat Wordfence am 9. Oktober die dritte Lücke ohne Anmeldung binnen 15 Tagen veröffentlicht. Version 2.0.2.2 vom 6. Oktober schließt sie und bessert damit einen Fix aus der Vorversion nach. Fluent Forms mit über 700.000 Installationen hatte eine Lücke derselben Bauart.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die neue WPForms-Sicherheitslücke greift nur auf Seiten, deren Formularbeschreibung einen Platzhalter für Adressparameter in eingebettetem Inhalt nutzt.^[1] Schwerer wiegt eine Shortcode-Lücke vom 24. September, denn sie steckt ohne besondere Einstellung in allen Versionen von 1.5.0.1 bis 2.0.2.

Das Wichtigste in Kürze

CVE-2026-101921 betrifft WPForms bis 2.0.2.1 und ist seit Version 2.0.2.2 behoben (CVSS 3.1: 4,7, vergeben von Wordfence).
Laut wordpress.org liefen am 12. Oktober rund 35 Prozent der Installationen auf Versionszweigen vor 2.0, dort ist auch die Shortcode-Lücke offen.
Fluent Forms schließt die baugleiche Lücke CVE-2026-101324 mit Version 6.2.15.

Wie wird ein Platzhalter zum Risiko?

Klemmbrett mit Formularfeldern, Schlüssel in einem Feld, Zettel „Bitte ausfüllen“ — WPForms Smart Tags ermöglichen Angreifern, präparierte Links zu versenden. Der Browser des Opfers führt eingeschleusten Code aus (reflektiertes XSS)

WPForms nennt seine Platzhalter Smart Tags. Beim Aufruf eines Formulars setzt das Plugin an ihrer Stelle Werte ein, etwa den Seitentitel oder einen Parameter aus der Adresszeile. Den Parameter bestimmt der Besucher. Ein Angreifer verschickt einen präparierten Link. Öffnet ein Opfer den Link, führt dessen Browser den eingeschleusten Code im Namen der Website aus. Fachleute nennen das reflektiertes Cross-Site-Scripting.

Dahinter steckt ein verbreiteter Fehler: Jeder Ausgabeort braucht seine eigene Maskierung. Ein Wert, der im sichtbaren Text harmlos bleibt, bricht in einem HTML-Attribut oder in eingebettetem Inhalt aus. Version 2.0.2.1 behob laut Changelog Smart Tags in HTML-Attributen, erst 2.0.2.2 maskiert die Werte auch in eingebettetem Inhalt korrekt.^[2] Die Lücke steht auf der Stufe Patch verfügbar. Angriffe waren am 12. Oktober nicht bekannt, auch im Katalog der US-Behörde CISA fehlt ein Eintrag.

Warum sind gerade Formular-Plugins anfällig?

Am 24. September hatte Wordfence zwei WPForms-Lücken ohne Login veröffentlicht, beide behoben in 2.0.2.1. Über die erste konnten Fremde beliebige Shortcodes der Website ausführen (CVE-2026-84744, CVSS 6,5). Wie schwer die Lücke wiegt, hängt von den Shortcodes der übrigen Plugins ab.^[3] Die zweite war eine Skript-Lücke über den Platzhalter für den Seitentitel, gemeldet vom selben Forscher wie die neue Lücke. Shortcode-Lücken meldete Dr. Web zuletzt bei LatePoint und im Beaver Builder.

Formular-Plugins füllen Felder gern mit Werten aus der Adresszeile vor, Fluent Forms bietet dafür eigene Platzhalter. Steht ein solcher Platzhalter in einem selbst gebauten HTML-Feld innerhalb eines Link- oder Einbettungsattributs, konnten Fremde bis Version 6.2.14 Code einschleusen.^[4] Der neu gebaute HTML-Filter in WordPress 7.2 hilft dagegen nicht, weil die Plugins ihre Platzhalter erst nach der Filterung ersetzen.

WPForms: drei Lücken ohne Login in 15 Tagen

Steckbrief und Zeitablauf, Stand 12. Oktober 2026

5 Mio.+

aktive Installationen zählt wordpress.org für WPForms

4,7

Punkte nach CVSS 3.1 vergibt Wordfence für CVE-2026-101921, Schweregrad mittel

2 Anläufe

brauchte WPForms, bis Smart Tags auch in eingebettetem Inhalt maskiert waren

35 %

der Installationen liefen am 12. Oktober auf Zweigen vor 2.0

Vom Shortcode bis zum Platzhalter

24. September

Shortcodes

CVE-2026-84744, CVSS 6,5, Versionen 1.5.0.1 bis 2.0.2, behoben in 2.0.2.1.

24. September

Seitentitel

CVE-2026-88996, CVSS 6,1, Skript-Lücke über Smart Tag, behoben in 2.0.2.1.

30. September

Fluent Forms 6.2.15

schließt die baugleiche Lücke CVE-2026-101324, CVSS 4,7.

6. Oktober

WPForms 2.0.2.2

maskiert Smart Tags auch in eingebettetem Inhalt.

9. Oktober

Offenlegung

Wordfence veröffentlicht CVE-2026-101921 und die Fluent-Forms-Lücke.

Formular-Plugins verarbeiten Eingaben Fremder, deshalb gehören sie auf jeder Website in die automatischen Updates.
Michael Dobler, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Rechnerisch liefen am 12. Oktober mehr als 1,7 Millionen der über 5 Millionen WPForms-Websites auf den Zweigen 1.8 bis 1.10, gemessen an der Versionsstatistik von wordpress.org.^[5] Diese Schritte schließen die Lücken:

Aktualisieren: Spielen Sie WPForms 2.0.2.2 oder neuer ein, bei Fluent Forms Version 6.2.15 oder neuer.
Platzhalter prüfen: Sehen Sie Formularbeschreibungen, Bestätigungstexte und eigene HTML-Felder auf Platzhalter durch, die Werte aus der Adresszeile übernehmen.
Auto-Updates einschalten: Agenturen aktivieren automatische Updates für Formular-Plugins auf allen Kundensites.

Formulare erfassen Namen und E-Mail-Adressen, Art. 32 DSGVO verlangt für sie Sicherheit nach dem Stand der Technik. Meldepflichtig nach Art. 33 wird ein Vorfall erst, sobald ein Zugriff auf personenbezogene Daten feststeht.^[6] Seit dem 11. September 2026 müssen Hersteller kommerzieller Software nach dem Cyber Resilience Act aktiv ausgenutzte Lücken binnen 24 Stunden über die Plattform der EU-Agentur ENISA melden.^[7] Hoster mit vorgeschalteter Firewall finden Sie im WordPress-Hosting-Vergleich, Grundregeln im Ratgeber zur WordPress-Sicherheit.

Was ist WPForms?

WPForms ist ein Formular-Baukasten für WordPress, mit dem Betreiber Kontakt-, Umfrage- und Zahlungsformulare per Drag-and-drop anlegen. Laut wordpress.org läuft die kostenlose Fassung auf über 5 Millionen Websites, Hersteller ist Awesome Motive.

Welche WPForms-Versionen sind betroffen?

Die Skript-Lücke CVE-2026-101921 betrifft alle Versionen bis 2.0.2.1, behoben ist sie in 2.0.2.2 vom 6. Oktober 2026. Die Shortcode-Lücke CVE-2026-84744 steckt in den Versionen 1.5.0.1 bis 2.0.2 und ist seit 2.0.2.1 geschlossen.

Was sind Smart Tags in WPForms?

Smart Tags sind Platzhalter in geschweiften Klammern, die WPForms beim Anzeigen eines Formulars durch Werte ersetzt, etwa den Seitentitel, den Namen des angemeldeten Nutzers oder einen Parameter aus der Adresszeile der Seite.

Was ist reflektiertes Cross-Site-Scripting?

Beim reflektierten Cross-Site-Scripting steckt der Schadcode in einem präparierten Link. Die Website gibt ihn ungeprüft auf der Seite aus, und der Browser des Opfers führt ihn aus, sobald es den Link öffnet. So lassen sich etwa Sitzungen angemeldeter Nutzer missbrauchen.

Ist auch Fluent Forms betroffen?

Ja. Fluent Forms bis Version 6.2.14 hatte eine Lücke derselben Bauart (CVE-2026-101324, CVSS 4,7). Sie greift nur, wenn ein eigenes HTML-Feld einen Platzhalter für Adressparameter in einem Link- oder Einbettungsattribut nutzt. Version 6.2.15 schließt sie.