WPForms: Kontaktformular-Lücke lässt Schadcode durch

Für das Formular-Plugin WPForms ist eine Lücke gemeldet, über die Fremde ohne Login Schadcode in deine Seite schmuggeln könnten. Betroffen sind Versionen vor 1.4.8.1. Die wichtigste Aktion: das Plugin auf die aktuelle Version bringen. Dazu kommen fünf weitere Meldungen, darunter eine sehr ernste für Ninja Forms.

WPForms: Kontaktformular lässt Schadcode durch

Worum geht’s: WPForms (wpforms-lite) ist das Plugin für Kontaktformulare, Zahlungs- und Umfrageformulare, laut wordpress.org mit rund fünf Millionen aktiven Installationen. Laut WPScan baute das Plugin eine Eingabe ungeprüft in den Code der Seite ein. Dadurch kann fremder Code im Browser deiner Besucher laufen (Fachbegriff: Cross-Site-Scripting). Gefunden hat das RIPS Technologies, öffentlich wurde es am 10. Dezember 2018.

Bist du betroffen: Ja, wenn deine WPForms-Version älter als 1.4.8.1 ist. Ein Login ist nicht nötig, jeder Besucher deiner Seite könnte es versuchen. WPScan bewertet die Lücke als mittel (CVSS 6.5) und führt den Eintrag als nicht verifiziert. Behoben ist sie in Version 1.4.8.1, aktuell ist laut wordpress.org Version 2.0.3. Hinweise auf Angriffe nennen die Quellen nicht.

Was deiner Website passieren kann:

Besucher könnten auf Betrugsseiten umgeleitet werden, etwa beim Absenden eines Formulars.
Öffnet ein Admin eine präparierte Seite, könnte im schlimmsten Fall sein Zugang übernommen werden.
Google oder der Browser könnten vor deiner Seite warnen, die Sichtbarkeit in der Suche kann leiden.

Wie dringend: Diese Woche. Die Lücke ist mittel eingestuft, aber ohne Login ausnutzbar, und das Update liegt längst bereit.

Das solltest du tun:

Backup machen, dann WPForms auf die aktuelle Version aktualisieren.
Unter Benutzer nach unbekannten Admin-Konten schauen.
Nutzt du WPForms nicht mehr, lösche das Plugin.

Ebenfalls diese Woche

Ninja Forms: Das Plugin baut Formulare mit Rechnern und Quiz, rund 500.000 aktive Installationen. Laut WPScan können Fremde ohne Login Funktionen auf deiner Seite aufrufen, die dort nicht vorgesehen sind. Das kann zu manipulierten Daten im Seitencode führen (Fachbegriff: PHP Object Injection), wenn passender Code auf der Seite vorhanden ist. WPScan stuft die Lücke als kritisch und sehr ernst ein (CVSS 9.8) und schreibt, Angreifer nutzten sie seit dem 9. Juni 2022 aus. Das ist eine Einzelquelle. Sicher ist Version 3.6.11, aktuell ist 3.15.6. Im schlimmsten Fall kann die Seite samt gespeicherten Anfragen übernommen werden. Dringlichkeit: Sofort.

Speed Optimizer (sg-cachepress): Das frühere SG Optimizer beschleunigt deine Seite. Laut Sucuri waren einige Schnittstellen nicht abgesichert, sodass jeder Besucher Schadcode ablegen könnte. Betroffen sind Versionen bis 5.0.12, ab 5.0.13 ist es behoben, aktuell ist 7.8.5. Laut Sucuri wurden Seiten bei SiteGround automatisch aktualisiert. Ein CVSS-Wert fehlt. Im schlimmsten Fall steckt danach eine Hintertür in der Seite, mit Malware, Spam-Versand und Sperrung durch den Hoster. Dringlichkeit: Sofort, falls deine Version alt ist.

Brizy – Page Builder: Das Plugin zum Gestalten von Seiten. Laut WPScan konnten Fremde ohne Login Seiteneinstellungen wie Titel und Beschreibung ändern und Schadcode in den Seitenfuß setzen. Betroffen sind Versionen vor 1.0.114, aktuell ist 2.8.24. WPScan sah am 3. März 2020 Suchanfragen nach dieser Lücke, einen Einbruch bestätigt das nicht. Besucher könnten auf Betrugsseiten landen. Dringlichkeit: Diese Woche.

YITH WooCommerce Compare: Das Shop-Plugin für Produktvergleiche. WPScan meldet für Versionen vor 2.1.0 dieselbe Art von Lücke wie bei Ninja Forms, ohne Login nutzbar. Konkrete Folgen nennen die Quellen nicht. Je nach Code auf der Seite reicht das aber von Störungen bis zur Übernahme des Shops mit Bestellungen. Sicher ist 2.1.0, aktuell ist 3.15.1. Dringlichkeit: Diese Woche.

Download Monitor: Das Plugin für Downloads und deren Protokoll. Laut WPScan konnten Fremde ohne Login das Download-Protokoll mit Logins, E-Mail-Adressen und IP-Adressen abrufen. Das ist mittel eingestuft (CVSS 5.3). Betroffen sind Versionen vor 1.9.7, aktuell ist 5.3.5. Gelangen Nutzerdaten nach außen, kann eine DSGVO-Meldepflicht greifen. Dringlichkeit: Diese Woche.

bbPress: Das Forum-Plugin, rund 100.000 aktive Installationen. Laut WPScan können Fremde die Datenbank anzapfen, aber nur wenn anonymes Schreiben aktiv ist und WordPress älter als 4.8.3 ist. Sucuri nennt als Beispiel Passwort-Hashes, die nach außen gelangen könnten. WPScan nennt 2.5.13 als sichere Version, Sucuri sagt, bbPress selbst habe nichts gepatcht, erst WordPress 4.8.3 löse es. Aktuell ist 2.6.20. Dringlichkeit: Beim nächsten Wartungstermin.

Was du jetzt tun solltest

Lege ein Backup an, bevor du etwas aktualisierst.
Aktualisiere in dieser Reihenfolge: Ninja Forms, Speed Optimizer, WPForms, Brizy, YITH WooCommerce Compare, Download Monitor, bbPress.
Prüfe unter Benutzer, ob unbekannte Admin-Konten existieren.
Lösche Plugins, die du nicht nutzt, statt sie nur zu deaktivieren.
Halte WordPress selbst aktuell.

Was noch offen ist

Für keine der Meldungen nennen die Quellen eine CVE-Kennung. Bei Speed Optimizer und bbPress beschreiben die Quellen Ursache und Patch unterschiedlich. Bei vielen Einträgen bleibt unklar, ob Angriffe stattfinden.

Quellen

Brauchst du Hilfe bei diesem Thema?

Wir prüfen deine Seite und sagen dir ehrlich, was sie wirklich braucht: Erstanalyse kostenlos.

Soforthilfe anfragen