CVE-2026-119077 und CVE-2026-125055: Kritische Lücken in zwei WordPress-Plugins
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 12. November 2026 hat Wordfence zwei kritische Schwachstellen in WordPress-Plugins veröffentlicht. CVE-2026-119077 betrifft ELEX WordPress HelpDesk & Customer Ticketing System bis einschließlich Version 3.3.9. CVE-2026-125055 betrifft Chatterbug Forms – Fast, Flexible WordPress Form Builder bis einschließlich Version 1.0.2. Beide Schwachstellen haben einen CVSS-Wert von 9.8. Für beide Plugins stehen Updates bereit: ELEX HelpDesk 3.4.0 und Chatterbug Forms 1.1.
Status: Updates verfügbar; kein aktiver Missbrauch belegt
CVE-2026-119077: PHP Object Injection in ELEX HelpDesk
Laut Wordfence ist ELEX WordPress HelpDesk & Customer Ticketing System bis einschließlich Version 3.3.9 für PHP Object Injection anfällig. Die Schwachstelle betrifft den Parameter form, insbesondere das innerhalb der URL-kodierten Formulardaten übermittelte Feld ticket_label.
Als Ursache nennt Wordfence fehlende serverseitige Authentifizierung und das Fehlen einer Klassen-Positivliste bei der Deserialisierung. Auf einer öffentlich erreichbaren Seite mit dem Shortcode [wsdesk_support] wird ein wsdesk_nonce ausgegeben. Dieser Wert kann von nicht angemeldeten Besuchern abgerufen werden und stellt keine wirksame Zugriffskontrolle dar.
Ein erfolgreicher Angriff erfordert einen anonymen GET-Request an eine öffentliche Seite mit dem Shortcode sowie einen nicht authentisierten POST-Request. Dadurch kann Code auf dem betroffenen Server ausgeführt werden.
CVE-2026-125055: Beliebiger Dateiupload in Chatterbug Forms
CVE-2026-125055 betrifft Chatterbug Forms – Fast, Flexible WordPress Form Builder bis einschließlich Version 1.0.2. Wordfence beschreibt eine fehlende Prüfung von Dateiendungen in der Funktion cbforms_check_form_submissions.
Wenn keine Einschränkung für ein Formularfeld konfiguriert ist, kann die Prüfung den Dateityp aus der vom Upload gelieferten Endung übernehmen. Dadurch können Dateien mit beliebigen Endungen hochgeladen werden, einschließlich PHP-Dateien. Sind diese Dateien ausführbar, ist Remote Code Execution möglich.
Auch bei diesem Plugin wird ein Nonce-Wert auf öffentlichen Seiten mit Chatterbug-Formularen ausgegeben. Dieser Wert ist für nicht authentisierte Besucher abrufbar und bietet keine wirksame Zugriffskontrolle.
Beide Schwachstellen betreffen WordPress-Plugins, die auf öffentlich erreichbaren Webservern unter Kunden- oder Unternehmensdomains betrieben werden können. Für die Priorisierung sind insbesondere öffentlich erreichbare Support-Seiten mit [wsdesk_support] sowie Seiten mit Chatterbug-Formularen relevant.
Die technische Prüfung sollte drei Fragen beantworten:
Ist die WordPress-Instanz öffentlich erreichbar?
Ist eines der betroffenen Plugins installiert?
Liegt der Versionsstand innerhalb der bekannten betroffenen Versionen?
Bei CVE-2026-119077 ist die öffentliche Ausgabe des Support-Shortcodes relevant. Bei CVE-2026-125055 sind öffentlich erreichbare Chatterbug-Formulare und zugehörige Upload-Funktionen relevant.
Maßnahmen für Betrieb und Incident Response
Für beide Plugins stehen gepatchte Versionen bereit: ELEX HelpDesk ab Version 3.4.0, Chatterbug Forms ab Version 1.1. Betroffene Installationen sollten umgehend aktualisiert werden. Ist ein Update nicht sofort möglich, sollte das Plugin bis dahin deaktiviert werden. Die interne Prüfung von Installationsstand und Versionsstand hat dabei höchste Priorität. Für ELEX HelpDesk gilt dies besonders bei öffentlich erreichbaren Seiten mit dem Shortcode [wsdesk_support]. Für Chatterbug Forms betrifft dies öffentliche Formulare und Upload-Funktionen.
Upload-Verzeichnisse auf nicht autorisierte PHP-Dateien prüfen.
Betroffene Systeme priorisieren und mitigieren.
Eine Web Application Firewall einsetzen, um nicht authentisierte POST-Requests an betroffene Endpunkte zu blockieren.
Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring im Betriebsprozess verankern.
Organisationen in Deutschland und Österreich, die personenbezogene Daten über die betroffenen Plugins verarbeiten, sollten prüfen, ob ein erfolgreicher Angriff eine Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde) auslöst. Betreiber von Systemen, die unter NIS-2 fallen – in Deutschland umgesetzt über das NIS2UmsuCG, in Österreich über das NISG – sind zusätzlich verpflichtet, erhebliche Sicherheitsvorfälle an die zuständige nationale Behörde zu melden. Für die Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit entsprechender Meldepflicht ans BACS.
Extern erreichbare Instanzen einordnen
LocateRisk macht öffentlich erreichbare Systeme und eingesetzte Software sichtbar. Bei WordPress-Instanzen können externe HTTP-Signale, etwa Plugin-Asset-Pfade oder öffentlich ausgegebene Inhalte, auf den Einsatz von ELEX HelpDesk oder Chatterbug Forms hinweisen.
Diese externe Sichtbarkeit unterstützt die Priorisierung öffentlich erreichbarer Anwendungen. Die konkrete Installation, der Versionsstand und der Patchstatus müssen anschließend innerhalb der eigenen Systeme geprüft werden.
Für diese Meldung liegt der Nutzen in einer nachvollziehbaren Arbeitsreihenfolge: Extern erreichbare WordPress-Instanzen erfassen, Hinweise auf die betroffenen Plugins zuordnen und anschließend die interne Prüfung sowie die vorgesehenen Maßnahmen durchführen.
Bin ich betroffen?
Betroffen sind ELEX WordPress HelpDesk und Chatterbug Forms in den oben genannten Versionen. Wer wissen will, ob ELEX WordPress HelpDesk und Chatterbug Forms in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar sind, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
PHP Object Injection tritt auf, wenn eine Anwendung vom Nutzer kontrollierte Daten ohne ausreichende Prüfung deserialisiert. Angreifer können dadurch manipulierte Objekte einschleusen, die beim Verarbeiten serverseitigen Code ausführen. Im Fall von CVE-2026-119077 genügen zwei unauthentisierte HTTP-Requests, um diesen Angriff durchzuführen.
ELEX WordPress HelpDesk & Customer Ticketing System ist in allen Versionen bis einschließlich 3.3.9 von CVE-2026-119077 betroffen. Chatterbug Forms – Fast, Flexible WordPress Form Builder ist in allen Versionen bis einschließlich 1.0.2 von CVE-2026-125055 betroffen. Behoben ist die Lücke in ELEX HelpDesk ab Version 3.4.0 und in Chatterbug Forms ab Version 1.1.
Betroffene Plugins sollten sofort auf die gepatchte Version aktualisiert werden (ELEX HelpDesk 3.4.0, Chatterbug Forms 1.1). Ist das nicht sofort möglich, sollte das Plugin bis zum Update deaktiviert werden. Zusätzlich empfiehlt sich die Prüfung der Upload-Verzeichnisse auf unberechtigte PHP-Dateien sowie der Einsatz einer Web Application Firewall, um unauthentisierte POST-Requests an die betroffenen Endpunkte zu unterbinden.
Stand: 13.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-119077
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français