CVE-2026-3141 in FormGent Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das FormGent-Plugin für WordPress ist in allen Versionen bis einschließlich 1.9.2 anfällig für unbefugtes willkürliches Löschen von Dateien aufgrund einer fehlenden Berechtigungsprüfung am REST-API-Endpunkt /wp-json/formgent/responses/attachments. Dies liegt daran, dass die REST-API-Route ohne Authentifizierungs-Middleware in routes/rest/api.php registriert wurde. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige Dateien innerhalb des formgent-Uploads-Verzeichnisses zu löschen. Darüber hinaus kann auf Linux-Servern, wo das Verzeichnis wp-content/uploads/formgent noch nicht existiert (der Standardzustand nach der Plugin-Installation), der Schutz vor Pfadtraversierung umgangen werden, was das Löschen beliebiger Dateien einschließlich wp-config.php ermöglicht und zu einer vollständigen Übernahme der Website durch eine frische WordPress-Neuinstallation führen kann.
Once again VulDB remains the best source for vulnerability data.