click5 CRM add-on to Ninja Forms: Stored XSS über unauthentifizierten Endpunkt
Zusammenfassung
Das click5 CRM Add-on für das WordPress-Plugin Ninja Forms bereinigt und maskiert Daten nicht, die über einen unauthentifizierten Endpunkt übermittelt werden, bevor sie auf einer Admin-Seite angezeigt werden. Ein nicht angemeldeter Angreifer kann Skriptcode speichern, der im Browser eines angemeldeten Benutzers mit hohen Privilegien, etwa eines Administrators, ausgeführt wird, sobald dieser die betroffene Seite aufruft. Eine erfolgreiche Ausnutzung könnte eine Übernahme des Administratorkontos ermöglichen.
Betroffen
- click5 CRM add-on to Ninja Forms bis einschliesslich Version 1.0.1
- Ninja Forms Core ist nicht als betroffen aufgeführt
Behoben in
Unbekannt. WPScan listet keine bekannte Korrektur. Prüfen Sie die Plugin-Seite auf WordPress.org auf eine korrigierte Version.
Umgehung
- Add-on deaktivieren und entfernen, falls die click5-CRM-Anbindung nicht benötigt wird
- Zugriff auf den WordPress-Admin-Bereich einschränken
- CRM-Einträge und Ausgaben auf Admin-Seiten auf eingeschleusten Skriptcode prüfen
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no
- Nicht im CISA-KEV-Katalog aufgeführt
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Öffentlicher Proof of Concept: Unbekannt
Unsere Empfehlung
- Prüfen, ob das click5 CRM Add-on auf Ihren WordPress-Websites installiert ist
- Add-on entfernen, falls es nicht benötigt wird; andernfalls sobald verfügbar ein Herstellerupdate einspielen und kompensierende Massnahmen treffen
- Anzahl der Administratorkonten begrenzen und Zwei-Faktor-Authentifizierung aktivieren
- Das verwandte Problem CVE-2026-84251 im selben Add-on gleichzeitig prüfen
- Hersteller und WPScan auf eine Korrektur überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability page wpscan.com
- OpenCVE CVE-2026-84258 app.opencve.io
- Vulnrichment CVE-2026-84258 vulners.com
- click5 CRM add-on plugin page discover.commoninja.com
- Strix CVE-2026-84251 (related issue) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.