WordPress-Plugin Contact Form by Bit Form: Beliebiges Löschen von Dateien

Beschreibung

Das WordPress-Plugin Contact Form by Bit Form ist in den Versionen 2.0 bis 2.13.4 aufgrund unzureichender Prüfung des Dateipfads in der Funktion iconRemove anfällig für das beliebige Löschen von Dateien. Authentifizierte Angreifer mit Administratorrechten oder höher können damit beliebige Dateien auf dem Server löschen, was beim Löschen der richtigen Datei (etwa wp-config.php) leicht zur Ausführung von Code aus der Ferne führen kann. CVSS-Basiswert: 8.7 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Phoenix Contact

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• All Post Contact Form (WordPress): Upload gefährlicher Dateitypen ermöglicht Web-Shell CVE-2024-50523
• ARForms-Plugin (Contact Form, Survey, Quiz & Popup Form Builder) für WordPress: PHP Object Injection CVE-2024-13784
• WP Insightly: Nicht authentifizierte PHP Object Injection (<= 1.1.4) CVE-2026-49085
• Integration for Keap/Infusionsoft und Formular-Plugins: Unauthentifizierte PHP Object Injection CVE-2026-49104