Contact Form by Bit Form (WordPress): beliebiges Lesen und Löschen von Dateien

Beschreibung

Das WordPress-Plugin Contact Form by Bit Form ist in den Versionen 2.0 bis 2.13.9 wegen unzureichender Validierung von Dateipfaden für das beliebige Lesen und Löschen von Dateien anfällig. Authentifizierte Angreifer mit Administratorrechten oder höher können so beliebige Serverdateien lesen und löschen; das Löschen der richtigen Datei (etwa wp-config.php) kann zu Remote Code Execution führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf eine Version oberhalb von 2.13.9.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Phoenix Contact

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• All Post Contact Form (WordPress): Upload gefährlicher Dateitypen ermöglicht Web-Shell CVE-2024-50523
• ARForms-Plugin (Contact Form, Survey, Quiz & Popup Form Builder) für WordPress: PHP Object Injection CVE-2024-13784
• WP Insightly: Nicht authentifizierte PHP Object Injection (<= 1.1.4) CVE-2026-49085
• Integration for Keap/Infusionsoft und Formular-Plugins: Unauthentifizierte PHP Object Injection CVE-2026-49104