Schwere Sicherheitslücke bei wpForo

Besucher ohne Konto konnten im Forum-Plugin wpForo Datenbankabfragen manipulieren, weil das Plugin den nötigen Prüfwert auf jeder Forenseite mitliefert. Betroffen sind alle Versionen bis 3.2.2, Version 3.2.3 vom 1. November schließt die Lücke. Vier weitere Sicherheitslücken kommen hinzu, eine davon ebenfalls ohne Konto.

Die US-Schwachstellendatenbank NVD hat am 7. November fünf Sicherheitslücken in wpForo veröffentlicht, die Wordfence als Vergabestelle mit CVSS 3.1 zwischen 6,4 und 7,5 bewertet.^[1] Laut wordpress.org läuft das Forum-Plugin auf mehr als 20.000 aktiven Installationen, aktuell ist Version 3.2.4 vom 2. November.^[2]

Warum genügt ein Seitenaufruf für die SQL-Injection?

Bei einer SQL-Injection landet die Eingabe eines Besuchers in einer Datenbankabfrage, und die Datenbank führt den Zusatz als Befehl aus. Bei CVE-2026-119155 betrifft das laut NVD die Verarbeitung der Forenadresse, die wpForo ohne ausreichendes Maskieren und ohne vorbereitete Abfrage an die Datenbank gibt.^[1] Die Angriffsklasse heißt zeitbasiert: Der Angreifer sieht keine Daten direkt, schließt aber aus der Antwortzeit auf den Inhalt der Datenbank. Das dauert länger, lässt sich aber automatisieren.

Als Schutz bleibt allein ein Nonce, und den erhält jeder Besucher laut NVD auf jeder Forenseite im Quelltext.^[1] Ein Nonce ist ein Einmalwert, den WordPress an Formulare und Aufrufe hängt, um gefälschte Anfragen abzuwehren. Eine Anmeldung ersetzt er nicht. Gibt ein Plugin ihn öffentlich aus und hängt daran eine Abfrage mit ungeprüften Eingaben, schützt der Wert nichts.

Als Folge nennt die NVD das Auslesen sensibler Informationen aus der Datenbank. Dieselbe Datenbank enthält die WordPress-Benutzertabelle und die Profile der Forenmitglieder. Welche Inhalte ein Angreifer im Einzelfall erreicht, steht im Eintrag nicht.^[1]

Betroffen sind alle Versionen bis 3.2.2. Version 3.2.3 vom 1. November führt im Änderungsprotokoll eine behobene SQL-Injection in der Verarbeitung der Forenadresse auf.^[2][3] Am 7. November liefen 45,7 Prozent der Installationen auf der Reihe 3.2, in der betroffene (3.2.0 bis 3.2.2) und behobene Versionen (3.2.3, 3.2.4) stecken. Die Reihen 2.4 und 3.1 kommen zusammen auf 37,2 Prozent und liegen laut NVD-Versionsangabe durchweg im betroffenen Bereich. Eine genaue Zahl betroffener Websites lässt sich aus der Statistik nicht ableiten.^[2]

Wie reiht sich wpForo in die Serie der SQL-Lücken ein?

Die vier übrigen Einträge sind schwächer, aber nicht harmlos. CVE-2026-119164 (CVSS 3.1: 7,5) lässt Mitglieder mit Abonnentenrolle zum wpForo-Administrator aufsteigen, sofern sie mindestens drei freigegebene Beiträge haben. Damit lassen sich laut NVD die Zugriffsrechte des gesamten Forums umschreiben.^[4] CVE-2026-110004 (6,5) erlaubt das Löschen beliebiger Dateien und setzt eine selbst angelegte Benutzergruppe mit dem Recht zur Themenverwaltung voraus. Fällt dabei die Konfigurationsdatei wp-config.php weg, kann das laut NVD zur Codeausführung führen.^[5]

CVE-2026-120532 (6,4) ist eine Skripteinschleusung über Forenbeiträge und braucht ein Abonnentenkonto.^[6] CVE-2026-95870 (7,5) ist eine zweite SQL-Injection ohne Anmeldung. Sie greift nur, wenn im Forum ein durchsuchbares Themenfeld vom Typ Checkbox oder Mehrfachauswahl eingerichtet ist, und betrifft Versionen bis 3.2.1.^[7]

WordPress bringt für Abfragen eine Funktion mit, die Eingaben als Wert statt als Befehl übergibt. Sie schützt aber nur dort, wo Entwickler sie benutzen. Plugins mit vielen eigenen Abfragen und Suchfunktionen bieten dafür viele Stellen. Dr. Web hat am 10. Oktober eine SQL-Lücke ohne Login bei LatePoint gemeldet, dazu eine SQL-Lücke im Avada Builder. Beim Spenden-Plugin GiveWP zählte Dr. Web 33 Sicherheitslücken seit Juli. Rechteausweitungen über Rollen und Gruppen betrafen zuletzt auch Essential Addons for Elementor.

Der Stand: offengelegt (NVD, 7. November), Patch verfügbar (3.2.3 seit 1. November, die zweite SQL-Injection laut Versionsangabe seit 3.2.2 vom 28. September), Exploit-Code und Angriffe nicht belegt.

Was sollten Betreiber jetzt tun?

• Aktualisieren: Spielen Sie wpForo 3.2.4 ein, mindestens 3.2.3, und schalten Sie automatische Updates für das Plugin ein.
• Caches leeren: Laut Änderungsprotokoll gehören nach dem Update alle Caches geleert, ein CDN bereinigt und bei Redis der Objekt-Cache gespült.
• Benutzergruppen prüfen: Suchen Sie in den Gruppen des Forums nach Mitgliedern in der Administrator-Gruppe, die dort nicht hingehören, und in WordPress nach unbekannten Administratorkonten.
• Eigene Gruppen kontrollieren: Entziehen Sie selbst angelegten Gruppen das Recht zur Themenverwaltung, wenn es niemand braucht.
• Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie das Plugin, bis die neue Version läuft.

Auffällig sind außerdem ungewöhnlich lange Antwortzeiten auf Forenseiten und viele Anfragen mit seltsamen Adressen im Zugriffsprotokoll des Servers. Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 3.2.2. Foren speichern E-Mail-Adressen und Beiträge ihrer Mitglieder, deshalb prüfen Betreiber bei Verdacht auf Datenabfluss die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die Updates und Überwachung übernehmen.

FAQ: Schwere Sicherheitslücke bei wpForo

Quellen

Mehr Newshunger?

• LatePoint mit über 100.000 Installationen: neue SQL-Lücke ohne Login
• Avada Builder: Eine Million Sites, eine SQL-Lücke
• GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
• Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren
• Schwere Sicherheitslücke bei TranslatePress