WordPress-Plugins mit Sicherheitslücken: 12 Plugins, darunter WS Form LITE

Am 7. November 2026 wurden Sicherheitslücken in 12 WordPress-Plugins veröffentlicht. Die gravierendste ist eine Rechteerweiterung im Plugin Registration Form for WooCommerce (CVSS 9.8), die nicht angemeldeten Angreifern erlaubt, ein Administratorkonto anzulegen. Mehrere weitere Schwachstellen können ebenfalls ohne Konto ausgenutzt werden, unter den unten beschriebenen Bedingungen. Bislang wird keine davon als aktiv ausgenutzt gemeldet.

Registration Form for WooCommerce (1.000 aktive Installationen)

Der Registrierungsablauf beim Bezahlvorgang prüft die übermittelte Benutzerrolle nicht gegen eine Erlaubnisliste. Daher können nicht angemeldete Angreifer während des Bezahlvorgangs ein Konto mit der Rolle Administrator anlegen, was einer vollständigen Übernahme der Website entspricht. Alle Versionen bis einschließlich 1.1.4 sind betroffen (CVE-2026-119075, CVSS 9.8). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

QA Assistants – Driven by data (2.000 aktive Installationen)

Dieses Plugin ist anfällig für PHP Object Injection über den Parameter 'dlevent_ver'. Nicht angemeldete Angreifer können diese Lücke zusammen mit einer mitgelieferten Guzzle-Komponente nutzen, um beliebige Dateien zu schreiben und möglicherweise Code auszuführen. Der verwundbare Code wird über wp-cron.php ausgelöst, das keine Anmeldung erfordert und im Zwei-Minuten-Takt läuft. Alle Versionen bis einschließlich 5.3.0 sind betroffen (CVE-2026-87112, CVSS 8.8). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Advanced Form Integration – Connect Forms to 300+ Apps (9.000 aktive Installationen)

Nicht angemeldete Angreifer können PHP-Objekte durch Deserialisierung nicht vertrauenswürdiger Eingaben einschleusen. Das Plugin selbst enthält keine bekannte POP-Kette, daher hängt die Auswirkung davon ab, ob ein anderes Plugin oder Theme eine solche Kette bereitstellt. Für die Ausnutzung ist außerdem eine aktive, von einem Administrator konfigurierte NexForms-Integration erforderlich. Alle Versionen bis einschließlich 2.10.2 sind betroffen (CVE-2026-104738, CVSS 8.1). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Motors – Car Dealership & Classified Listings Plugin (9.000 aktive Installationen)

Jeder angemeldete Benutzer mit mindestens Abonnenten-Rechten kann über die Funktion stm_listings_ajax_save_user_data beliebige Dateien löschen. Laut Beschreibung ist das Löschen auf das Verzeichnis wp-content/uploads beschränkt. Alle Versionen bis einschließlich 1.4.125 sind betroffen (CVE-2026-104746, CVSS 8.1). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

WPJAM Basic (4.000 aktive Installationen)

Eine Schwachstelle in der Registrierungsfunktion erlaubt nicht angemeldeten Angreifern, einen neuen Benutzer mit einer frei gewählten Rolle anzulegen, auch mit der Rolle Administrator. Die Ausnutzung setzt einen registrierten Social-Login-Anbieter und offene Registrierung voraus. Alle Versionen bis einschließlich 7.1 sind betroffen (CVE-2026-103900, CVSS 8.1). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Affiliate Program Suite – SliceWP Affiliates (10.000 aktive Installationen)

Nicht angemeldete Angreifer können über den Parameter 'email' eine SQL-Injection durchführen und so sensible Informationen aus der Datenbank auslesen. Der verwundbare Code läuft bei der Registrierung im Mein-Konto-Bereich von WooCommerce. Alle Versionen bis einschließlich 1.2.14 sind betroffen (CVE-2026-120043, CVSS 7.5). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

AutomatorWP (6.000 aktive Installationen)

Fehlende Rollenprüfungen in Aktionen zur Benutzererstellung können es nicht angemeldeten Angreifern ermöglichen, ein neues Administratorkonto zu erhalten. Voraussetzung ist eine anonyme Automatisierung, deren Optionen für die Rolle an einen dynamischen Auslöser-Tag wie {comment_author} gebunden ist, und die ausgelöst wird, wenn ein Administrator einen Kommentar freigibt. Alle Versionen bis einschließlich 6.0.4 sind betroffen (CVE-2026-104768, CVSS 7.5). Aktualisieren Sie auf die neueste Version und prüfen Sie alle Automatisierungen, die Benutzer anlegen oder Rollen ändern.

Quttera ThreatSign – Web Malware Scanner (10.000 aktive Installationen)

Nicht angemeldete Angreifer können über den HTTP-Header User-Agent schädliche Skripte speichern, die ausgeführt werden, sobald ein Administrator die betroffene Seite öffnet. Alle Versionen bis einschließlich 4.1.0.48 sind betroffen (CVE-2026-115548, CVSS 7.2). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Link Library (10.000 aktive Installationen)

Nicht angemeldete Angreifer können über den Parameter 'link_description' schädliche Skripte speichern. Dies gilt jedoch nur, wenn die nicht standardmäßige Einstellung 'Convert [] to <> in Link Description and Notes' aktiviert ist. Alle Versionen bis einschließlich 7.10.0 sind betroffen (CVE-2026-116537, CVSS 7.2). Aktualisieren Sie auf die neueste Version und prüfen Sie, ob diese Einstellung auf Ihren Websites benötigt wird.

WS Form LITE – Drag & Drop Contact Form Builder (10.000 aktive Installationen)

Nicht angemeldete Angreifer können über Parameter von Formularfeldern schädliche Skripte speichern, weil eine clientseitige Escaping-Hilfsfunktion Werte, die keine Zeichenketten sind, unverändert durchlässt. Alle Versionen bis einschließlich 1.12.18 sind betroffen (CVE-2026-122231, CVSS 7.2). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

VikBooking Hotel Booking Engine & PMS (8.000 aktive Installationen)

Nicht angemeldete Angreifer können über den Parameter für Gästedokumente des Vorab-Check-in-Formulars schädliche Skripte speichern. Das erforderliche Buchungstoken lässt sich durch eine reguläre öffentliche Buchung erlangen. Alle Versionen bis einschließlich 1.8.17 sind betroffen (CVE-2026-93429, CVSS 7.2). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Pie Register – User Registration, Profiles & Content Restriction (1.000 aktive Installationen)

Nicht angemeldete Angreifer können über den Parameter 'first_name' schädliche Skripte speichern, wenn die öffentliche Registrierung aktiviert ist und das Formular ein Feld für das Profilbild enthält. Alle Versionen bis einschließlich 3.8.4.16 sind betroffen (CVE-2026-119158, CVSS 7.2). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard jeder Website Plugins > Installierte Plugins und suchen Sie nach den oben genannten Plugins. Alternativ zeigt wp plugin list mit WP-CLI die installierten Plugins und ihre Versionen an. Aktualisieren Sie betroffene Plugins über das Dashboard oder mit wp plugin update <plugin-slug>. Prüfen Sie bei den Rechteerweiterungen außerdem die Benutzerliste auf Administratorkonten, die Sie nicht kennen.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-103900
• https://nvd.nist.gov/vuln/detail/CVE-2026-104738