Path Traversal in Ultra Addons for Contact Form 7 – Versionen bis 3.5.54 gefährdet

Was die Lücke in Ultra Addons for Contact Form 7 Angreifern erlaubt

Die Sicherheitsmeldung CVE-2026-100386 beschreibt eine Path-Traversal-Schwachstelle (CWE-22) im WordPress-Plugin Ultra Addons for Contact Form 7. Path Traversal bedeutet, dass ein Angreifer durch manipulierte Pfadangaben außerhalb des vorgesehenen Verzeichnisses auf dem Server Dateien lesen kann. Laut dem CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) ist keine vorherige Authentifizierung nötig; der Angriff kann komplett aus dem Netzwerk heraus durchgeführt werden. Ein erfolgreicher Aufruf kann sensible System- oder Konfigurationsdateien preisgeben, was weitere Angriffe erleichtert. Die Schwachstelle ist bislang nicht bestätigt ausgenutzt, jedoch besteht das technische Potenzial für Missbrauch.

Wer von dieser Schwachstelle betroffen ist

Betroffen sind alle WordPress-Installationen, die das Plugin Ultra Addons for Contact Form 7 einsetzen und eine Version bis einschließlich 3.5.54 verwenden. Das Plugin erweitert das weit verbreitete Contact Form 7 um zusätzliche Layout- und Feldoptionen und ist daher auf vielen Unternehmens- und Agentur-Websites zu finden. Da die Ausnutzung keine vorherige Anmeldung erfordert, kann ein Angreifer von außen gezielt Pfade an das Plugin senden und dadurch Dateien auslesen. Betreiber sollten daher sofort prüfen, ob das Plugin aktiv ist und welche Version aktuell läuft.

Was Sie jetzt tun sollten

1. Plugin-Status prüfen – Loggen Sie sich im WordPress-Dashboard ein, öffnen Sie das Menü Plugins und suchen Sie nach Ultra Addons for Contact Form 7. So erfahren Sie, ob das Plugin aktiv ist. 2. Versionsnummer ermitteln – In der Plugin-Übersicht wird die installierte Version angezeigt. Vergleichen Sie sie mit dem betroffenen Bereich „bis 3.5.54“. 3. Backup erstellen – Erstellen Sie ein vollständiges Backup von Dateien und Datenbank, um im Falle einer Deaktivierung oder eines Updates die Seite wiederherstellen zu können. 4. Update durchführen oder deaktivieren – Sobald ein offizielles Update erscheint, installieren Sie es sofort. Gibt es noch keins, deaktivieren oder löschen Sie das Plugin, um die Angriffsfläche zu schließen. 5. Server-Logs überwachen – Prüfen Sie die Zugriffs- und Fehler-Logs Ihres Webservers auf ungewöhnliche Pfadanfragen, die auf einen Exploit-Versuch hinweisen könnten. 6. Hosting-Provider informieren – Teilen Sie Ihrem Hoster die Situation mit, damit er zusätzliche Netzwerk-Überwachungen aktivieren kann. Durch diese Maßnahmen reduzieren Sie das Risiko, dass Angreifer über die Path-Traversal-Lücke auf Ihre Serverdateien zugreifen.