Fluent CRM: Privilegieneskalation durch fehlerhafte Berechtigungsvergabe

Zusammenfassung

Fluent CRM, ein WordPress-Plugin von WP ManageNinja LLC, enthält eine fehlerhafte Berechtigungsvergabe, die eine Privilegieneskalation ermöglicht. Ein Angreifer mit einem Konto mit niedrigen Rechten auf der WordPress-Website, etwa einem Mitwirkenden-, Abonnenten- oder Kundenkonto, kann Administratorrechte erlangen und die volle Kontrolle über die Website übernehmen. Der CVSS-v3.1-Basiswert beträgt 8.8 (HIGH), und die Analyse durch die NVD ist noch ausstehend.

Betroffen

• Fluent CRM (fluent-crm, WordPress.org) bis und mit 3.2.5

Behoben in

• Fluent CRM 3.2.6 (gemäss CNA-Daten die erste nicht betroffene Version)
• Die neueste verfügbare Version installieren, mindestens 3.2.6

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden. Das Plugin aktualisieren ist die primäre Massnahme.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als yes auf.
• Laut Strix nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Die installierte Fluent-CRM-Version auf allen WordPress-Websites prüfen. Versionen bis und mit 3.2.5 sind betroffen.
• Auf die neueste verfügbare Version aktualisieren, mindestens 3.2.6.
• Benutzerkonten prüfen, nicht benötigte Konten mit niedrigen Rechten entfernen und sicherstellen, dass keine unerwarteten Administratorkonten existieren.
• Benutzerregistrierung einschränken oder überprüfen, insbesondere bei Websites mit vielen Mitwirkenden- oder Kundenkonten.
• Die Behebung anhand der Patchstack-Seite oder des WordPress.org-Changelogs bestätigen, bevor das Ticket geschlossen wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory: Fluent CRM <= 3.2.5 Privilege Escalation patchstack.com
• OpenCVE: CVE-2026-109693 app.opencve.io
• Vulners CVE record: CVE-2026-109693 vulners.com
• Vulners CVEList record: CVE-2026-109693 (CNA JSON) vulners.com
• Strix: CVE-2026-109693 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:33.