Kritische Sicherheitslücke im WordPress-Plugin „Drag and Drop Multiple File Upload – Contact Form 7"

Wer auf seiner WordPress-Seite das Plugin Drag and Drop Multiple File Upload – Contact Form 7 in Version 1.3.9.5 oder älter einsetzt, sollte umgehend handeln. Die am 5. März 2026 veröffentlichte Schwachstelle (CVE-2026-3459) erlaubt es völlig unbekannten, nicht eingeloggten Angreifern, beliebige Dateien auf den Webserver hochzuladen – ohne jegliche Authentifizierung. Im schlimmsten Fall kann darüber schadhafter Code direkt auf dem Server ausgeführt werden, was eine vollständige Kompromittierung der Website bedeutet. Der CVSS-Score liegt bei 8.1 (Hoch).

Das Problem steckt in der Funktion dnd_upload_cf7_upload, die hochgeladene Dateitypen nicht ausreichend prüft. Die Lücke greift konkret dann, wenn ein Formular auf der Seite ein Datei-Upload-Feld enthält, das mit * als erlaubtem Dateityp konfiguriert ist – also alle Dateitypen akzeptiert.

Bin ich betroffen? Im WordPress-Backend unter Plugins nachschauen, ob das Plugin installiert ist und welche Version läuft. Jede Version bis einschließlich 1.3.9.5 ist verwundbar. Wer Contact Form 7 mit Datei-Upload-Feldern betreibt und das Feld auf * gesetzt hat, ist besonders exponiert.

Empfehlung: Sofort auf Version 1.3.9.6 oder neuer aktualisieren – der Patch steht bereit. Bis zum Update als Sofortmaßnahme das Datei-Upload-Feld im Formular deaktivieren oder den erlaubten Dateityp auf konkrete Formate wie .pdf oder .jpg einschränken.

Weitere Details gibt es direkt in der Wordfence-Datenbank: Wordfence CVE-2026-3459

Tags :

Related Posts

Apache ActiveMQ-Lücke führt zu LockBit-Ransomware-Angriff

Eine detaillierte Fallanalyse von The DFIR Report zeigt, wie Angreifer über die seit 2023 bekannte Schwachstelle CVE-2023-46604 in Apache ActiveMQ eingedrungen sind – und das gleich zweimal beim selben Opfer. Der originale Bericht ist hier abrufbar: The DFIR Report, Februar 2026

Read More

Kritische ImageMagick-Lücke mit bekanntem Exploit

Am 23. Februar 2026 wurde CVE-2026-23876 veröffentlicht, eine Heap-Buffer-Overflow-Schwachstelle in ImageMagick, die mit CVSS 8.1 als hochgefährlich eingestuft wird. Besonders brisant: Ein funktionsfähiger Proof-of-Concept ist bereits öffentlich verfügbar, was die Angriffsschwelle erheblich senkt und schnelles Handeln notwendig macht.

Read More

KI-gestützte Angriffe auf FortiGate-Geräte – was jetzt zu tun ist

Amazon Threat Intelligence hat eine bemerkenswerte Angriffskampagne dokumentiert, die zwischen Januar und Februar 2026 über 600 FortiGate-Geräte in mehr als 55 Ländern kompromittierte. Bemerkenswert daran ist weniger die technische Raffinesse als vielmehr die Methode: Ein einzelner russischsprachiger Angreifer mit eher begrenzten Fähigkeiten nutzte kommerzielle KI-Dienste, um Angriffe in einem Ausmaß durchzuführen, das früher ein ganzes Team erfordert hätte. KI dient dabei als Kraft-Multiplikator – für Angriffsplanung, Toolentwicklung und operative Koordination.

Read More