click5 CRM add-on to Ninja Forms: Unauthentifizierte Aktualisierung beliebiger Optionen
Zusammenfassung
Das click5 CRM Add-on für das WordPress-Plugin Ninja Forms, bis und mit Version 1.0.1, verfügt über keine Berechtigungs- und CSRF-Prüfungen bei einem REST-Endpunkt, der WordPress-Optionen aktualisiert. Ein nicht angemeldeter Angreifer kann beliebige Blog-Optionen ändern, beispielsweise um ein neues Administratorkonto anzulegen und die Website zu übernehmen. Es ist weder eine Anmeldung noch eine Benutzerinteraktion nötig, und der CVSS-Score beträgt 9.8 (kritisch).
Betroffen
- click5 CRM add-on to Ninja Forms, Versionen 0 bis 1.0.1 (WordPress-Plugin, Slug click5-crm-add-on-to-ninja-forms)
- Hersteller: Unbekannt
Behoben in
Unbekannt. WPScan listet 'No known fix'. Eine KI-gestützte Analyse von VulDB nennt Version 1.0.2, dies konnte jedoch nicht verifiziert werden.
Umgehung
- Das Add-on deaktivieren und entfernen, falls die CRM-Integration nicht zwingend benötigt wird.
- Falls die Integration benötigt wird, den Zugriff auf die REST-Routen des Plugins über die Web Application Firewall oder den Reverse Proxy einschränken und den Formular-CRM-Ablauf testen.
- Administratorkonten, kürzlich geänderte Site-Optionen sowie unerwartete Plugins oder Dateien überprüfen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Laut einem Drittanbieter-Tracker nicht im CISA KEV aufgeführt.
- EPSS etwa 0.1%.
- Öffentlicher Proof of Concept: unklar.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Kundeninstallationen von WordPress nach dem Plugin-Slug click5-crm-add-on-to-ninja-forms durchsuchen.
- Wo gefunden, das Plugin deaktivieren und entfernen, sofern es nicht geschäftskritisch ist.
- Administratorkonten und Site-Optionen prüfen, auch nach der Entfernung, da die Schwachstelle bereits ausgenutzt worden sein könnte.
- Auf einen Herstellerfix achten und diesen vor einer Neuinstallation verifizieren.
- WordPress-Core und Ninja Forms aktuell halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-84251 app.opencve.io
- Vulners NVD CVE-2026-84251 vulners.com
- VulDB CVE-2026-84251 vuldb.com
- Plugin listing (commoninja) discover.commoninja.com
- Sibling entry WPScan CVE-2026-84258 wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.