click5 CRM-Add-on für Gravity Forms: Unauthentifizierte Aktualisierung beliebiger Optionen
Zusammenfassung
Das click5 CRM-Add-on für Gravity Forms, ein WordPress-Plugin, verfügt über keine Autorisierungs- und CSRF-Prüfungen bei einem REST-Endpunkt, der WordPress-Optionen aktualisiert, und prüft nicht, ob die Option zum Add-on gehört. Ein nicht angemeldeter Angreifer kann beliebige Blog-Optionen ändern, beispielsweise um einen neuen Administrator-Account zu erstellen und die Website zu übernehmen. Es ist keine Anmeldung und keine Benutzerinteraktion nötig, der CVSS-Score beträgt 9.8 (kritisch).
Betroffen
- click5 CRM-Add-on für Gravity Forms (Slug gf-add-on-by-click5), alle Versionen bis einschliesslich 1.0.3
Behoben in
- Unbekannt. WPScan listet keinen bekannten Fix. Es wurde keine Herstellerwarnung gefunden.
Umgehung
- Add-on deaktivieren und entfernen, falls der CRM-Abgleich nicht geschäftskritisch ist; dies ist die direkteste Option.
- Zugriff auf die WordPress REST API nach Möglichkeit einschränken und als kompensierende Massnahme eine WAF oder einen virtuellen Patch einsetzen; jede Regel vor dem Einsatz validieren.
- WordPress-Core und Gravity Forms aktuell halten; dies behebt die Schwachstelle im Add-on nicht.
Ausnutzung
- Nicht in der CISA KEV aufgeführt. Der EPSS-Wert liegt bei rund 0.1%.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
- WPScan zeigt ein Proof-of-Concept-Label, dessen Inhalt konnte jedoch nicht verifiziert werden; VulDB meldet keinen verfügbaren Exploit.
- Es ist keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Falls das Add-on auf einer Website installiert ist, diese sofort entfernen oder die Website isolieren; nicht auf einen Patch warten.
- Auf unerwartete Administrator-Accounts und kürzlich geänderte Optionen prüfen.
- Verwandte Add-ons desselben Entwicklers prüfen (CVE-2026-84254 im Contact Form 7 Add-on, CVE-2026-84260 Stored XSS), für die ebenfalls kein Fix bekannt ist.
- Die WordPress.org-Plugin-Seite und den Hersteller auf einen Fix überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- NVD data via Vulners vulners.com
- VulDB entry vuldb.com
- VulnCheck Vulnrichment summary vulners.com
- EPSS and KEV status (GitHub issue) github.com
- Contact Form 7 add-on WPScan entry wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.