click5 CRM-Add-on für Contact Form 7: Nicht authentifizierte Aktualisierung beliebiger Optionen
Zusammenfassung
Das click5 CRM-Add-on für Contact Form 7, ein WordPress-Plugin, verfügt über keine Autorisierungs- und CSRF-Prüfungen bei einem REST-Endpunkt, der WordPress-Optionen aktualisiert. Ein nicht authentifizierter Angreifer im Netzwerk kann beliebige Blog-Optionen ändern, beispielsweise um ein neues Administratorkonto anzulegen und die Website zu übernehmen. Der CVSS-Wert beträgt 9.8 (kritisch), und eine korrigierte Version ist nicht bekannt.
Betroffen
- click5 CRM-Add-on für Contact Form 7 (WordPress-Plugin, Slug cf7-add-on-by-click5), Versionen bis und mit 1.0.4
Behoben in
- Unbekannt. Es ist keine korrigierte Version bekannt; das Plugin wird auf WordPress.org als geschlossen angezeigt.
Umgehung
- Das Add-on deinstallieren und deaktivieren, falls es nicht benötigt wird.
- Falls das Add-on bleiben muss, dessen REST-Routen auf der Web Application Firewall oder dem Reverse Proxy einschränken (zuerst auf einer Testkopie prüfen; der genaue Endpunktname ist nicht bestätigt).
Ausnutzung
- CISA KEV: nicht aufgeführt.
- EPSS: rund 0.11%.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Öffentlicher Proof of Concept: unklar; kein öffentlicher Exploit wurde verifiziert.
Unsere Empfehlung
- Prüfen, ob das Add-on auf einer WordPress-Website installiert ist, und es entfernen, da keine Korrektur bekannt ist.
- Administratorkonten in WordPress und kürzlich geänderte Optionen jetzt überprüfen, da die Schwachstelle bereits ausgenutzt worden sein könnte.
- Web-Server- und WAF-Logs auf Anfragen an die REST-Routen des Add-ons prüfen.
- Den Zugriff auf den WordPress-Admin-Bereich und die REST-Endpunkte wo möglich einschränken und Backups für eine Wiederherstellung bereithalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- WPScan plugin page cf7-add-on-by-click5 wpscan.com
- OpenCVE CVE-2026-84254 app.opencve.io
- VulDB CVE-2026-84254 vuldb.com
- Strix CVE-2026-84254 www.strix.ai
- Vulners NVD CVE-2026-84254 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.