Kritische Sicherheitslücke im WordPress-Plugin „Drag and Drop Multiple File Upload – Contact Form 7"

Wer auf seiner WordPress-Seite das Plugin Drag and Drop Multiple File Upload – Contact Form 7 in Version 1.3.9.5 oder älter einsetzt, sollte umgehend handeln. Die am 5. März 2026 veröffentlichte Schwachstelle (CVE-2026-3459) erlaubt es völlig unbekannten, nicht eingeloggten Angreifern, beliebige Dateien auf den Webserver hochzuladen – ohne jegliche Authentifizierung. Im schlimmsten Fall kann darüber schadhafter Code direkt auf dem Server ausgeführt werden, was eine vollständige Kompromittierung der Website bedeutet. Der CVSS-Score liegt bei 8.1 (Hoch).

Das Problem steckt in der Funktion dnd_upload_cf7_upload, die hochgeladene Dateitypen nicht ausreichend prüft. Die Lücke greift konkret dann, wenn ein Formular auf der Seite ein Datei-Upload-Feld enthält, das mit * als erlaubtem Dateityp konfiguriert ist – also alle Dateitypen akzeptiert.

Bin ich betroffen? Im WordPress-Backend unter Plugins nachschauen, ob das Plugin installiert ist und welche Version läuft. Jede Version bis einschließlich 1.3.9.5 ist verwundbar. Wer Contact Form 7 mit Datei-Upload-Feldern betreibt und das Feld auf * gesetzt hat, ist besonders exponiert.

Empfehlung: Sofort auf Version 1.3.9.6 oder neuer aktualisieren – der Patch steht bereit. Bis zum Update als Sofortmaßnahme das Datei-Upload-Feld im Formular deaktivieren oder den erlaubten Dateityp auf konkrete Formate wie .pdf oder .jpg einschränken.

Weitere Details gibt es direkt in der Wordfence-Datenbank: Wordfence CVE-2026-3459

Tags :

Related Posts

Kritische Sicherheitslücke in Roundcube Webmail – sofortiges Update erforderlich

In Roundcube Webmail wurde eine schwerwiegende Schwachstelle (CVE-2025-49113) entdeckt, die es eingeloggten Angreifern ermöglicht, beliebigen Code auf dem Server auszuführen. Die Lücke steckt in der Datei-Upload-Funktion, wo ein Parameter nicht korrekt geprüft wird – was sogenannte PHP Object Deserialization ermöglicht. Die US-Behörde CISA hat die Schwachstelle bereits in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, was bedeutet: Sie wird in freier Wildbahn angegriffen.

Read More

Atlassian-Sicherheitsupdate Februar 2026 – Handlungsbedarf für Bamboo, Confluence und Crowd

Atlassian hat am 17. Februar 2026 seinen monatlichen Sicherheitsbericht veröffentlicht, der 13 hochgradige und 3 kritische Schwachstellen in seinen Data-Center- und Server-Produkten auflistet. Betroffen sind Bamboo, Confluence und Crowd – wer diese Produkte selbst betreibt (On-Premises), sollte zeitnah handeln.

Read More

Kritische ImageMagick-Lücke mit bekanntem Exploit

Am 23. Februar 2026 wurde CVE-2026-23876 veröffentlicht, eine Heap-Buffer-Overflow-Schwachstelle in ImageMagick, die mit CVSS 8.1 als hochgefährlich eingestuft wird. Besonders brisant: Ein funktionsfähiger Proof-of-Concept ist bereits öffentlich verfügbar, was die Angriffsschwelle erheblich senkt und schnelles Handeln notwendig macht.

Read More