click5 CRM-Add-on für WPForms: Nicht authentifizierte Aktualisierung beliebiger Optionen
Zusammenfassung
Das click5 CRM-Add-on für das WordPress-Plugin WPForms (bis und mit Version 1.0.3) stellt einen REST-Endpunkt bereit, der WordPress-Optionen ohne Autorisierungs- und CSRF-Prüfung aktualisiert und Änderungen nicht auf die eigenen Einstellungen des Add-ons beschränkt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann beliebige Blog-Optionen ändern, zum Beispiel um ein neues Administratorkonto zu erstellen und die Website zu übernehmen. Der NVD-Score beträgt 9.8 (kritisch); eine Korrektur des Herstellers ist nicht verfügbar und das Plugin scheint nicht mehr gepflegt zu werden.
Betroffen
- click5 CRM-Add-on für WPForms (Plugin-Slug wpf-add-on-by-click5), Versionen bis und mit 1.0.3
- Unbekannt, ob weitere Versionen betroffen sind
Behoben in
Unbekannt. Es ist keine korrigierte Version bekannt; WPScan führt das Plugin mit "No known fix".
Umgehung
- Add-on deaktivieren und entfernen, falls es nicht geschäftskritisch ist
- Einschränkung des Zugriffs auf die REST-API auf Webserver- oder WAF-Ebene ist nur eine Übergangslösung; es existiert keine vom Hersteller bestätigte Anleitung
Ausnutzung
- Der Angriff erfordert keine Authentifizierung und keine Benutzerinteraktion, über das Netzwerk
- CISA SSVC: automatisierbar ja, technische Auswirkung total
- Kein öffentlicher Exploit bestätigt; VulDB gibt an, dass kein Exploit existiert; EPSS etwa 0.1%
- Nicht in CISA KEV gelistet; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
Unsere Empfehlung
- Alle WordPress-Websites auf das Plugin wpf-add-on-by-click5 prüfen, auch in Listen mit WPForms-nahen Plugins
- Add-on wo möglich entfernen oder deaktivieren, da kein Patch zu erwarten ist
- Administratorkonten und kürzlich geänderte Optionen auf Anzeichen einer Kompromittierung prüfen
- Auf Updates des Herstellers oder von WPScan achten und die verwandte Schwachstelle CVE-2026-84259 (XSS in derselben Plugin-Familie) berücksichtigen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-84252 app.opencve.io
- GitHub Advisory GHSA-ghx5-hm5v-jfch github.com
- VulDB vulnerability 416522 vuldb.com
- NVD record via Vulners vulners.com
- Plugin page fair.pm wpf-add-on-by-click5 fair.pm
- WPScan entry CVE-2026-84259 wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.