Nach Darstellung von Wordfence handelt es sich bei CVE-2026-15748 um einen Fall des beliebigen Dateiuploads. Die Ursache liegt demnach in der Funktion „handle_file_upload()“, in der die Validierung des von Nutzern gelieferten Dateityps unzureichend ausfällt. Dadurch kann ein nicht authentifizierter Angreifer ein Formular missbrauchen, um praktisch jede Datei hochzuladen, einschließlich einer speziell präparierten PHP-Datei.
Wordfence beschreibt den technischen Hintergrund so: Die Sperrliste für gefährliche Dateiendungen arbeite in „handle_file_upload“ mit exakter Schlüsselübereinstimmung und lasse sich über alternative MIME-Typ-Schlüssel mit Trennzeichen umgehen. Hinzu komme ein öffentlich erreichbarer Handler für Formularübermittlungen, der einer vom Angreifer kontrollierten Upload-Feld-Konfiguration vertraue, die über einen gefälschten Wert in einem Auswahlfeld eingeschleust werde. Gelingt das, ist laut Wordfence Remotecodeausführung möglich, bis hin zur vollständigen Übernahme der Website.
Eine weitere Einschränkung betrifft die Standardkonfiguration des Plugins. Dateien werden dort in ein Verzeichnis hochgeladen, das durch eine „.htaccess“-Datei gegen die Ausführung von PHP geschützt ist. Anders kann es laut Quelltext aussehen, wenn ein Website-Administrator ein benutzerdefiniertes Stammverzeichnis für Datei-Uploads konfiguriert hat. In diesem Fall kann die Schutzdatei fehlen, weil sie „erst dann erzeugt wird, wenn sie zum ersten Mal benötigt wird, während einer Anfrage über das Frontend, bei der die für das Schreiben der .htaccess-Datei zuständige WordPress-Hilfsfunktion nicht geladen ist“.
Fehlt dieser Schutz, reicht das Abrufen der hochgeladenen Datei aus, damit der Webserver den vom Angreifer kontrollierten PHP-Code ausführt. Betroffen sind alle Forminator-Versionen vor und einschließlich 1.56.1. Behoben wurde das Problem mit Version 1.56.2.
Wenige Tage zuvor hatte Wordfence zudem auf eine weitere kritische Schwachstelle in einem WordPress-Plugin hingewiesen: User Profile Builder mit mehr als 40.000 aktiven Installationen. Diese Lücke wird als CVE-2026-15826 geführt, ebenfalls mit einem CVSS-Wert von 9,8, und ermöglicht laut Wordfence eine Umgehung der Authentifizierung. Nicht authentifizierte Angreifer könnten sich dadurch als Benutzer mit der Kennung 1 anmelden, typischerweise als Administrator, und so die Website übernehmen.
Der Fehler in User Profile Builder wurde am 16. Juli 2026 mit Version 3.16.5 behoben. Betroffen sind alle früheren Versionen, ausnutzbar ist die Schwachstelle jedoch nur auf Websites, auf denen die Plugin-Einstellung „Automatisch anmelden“ aktiviert ist. Laut Wordfence ruft die Funktion „wppb_log_in_user()“ den Befehl „absint()“ auf dem Rückgabewert von „wp_insert_user()“ auf, bevor mit „is_wp_error()“ geprüft wird, ob ein Fehler vorliegt. Wird eine Registrierung mit einem 61 bis 70 Zeichen langen Benutzernamen eingereicht, lehnt der WordPress-Kern sie mit einem „WP_Error“-Objekt ab. „absint()“ wandle dieses Objekt vor der Fehlerprüfung jedoch in die Ganzzahl 1 um, wodurch das Plugin ein durch einen Zwischenspeicher abgesichertes automatisches Anmelde-Nonce für die Benutzerkennung 1 verknüpfe und zurückgebe.