click5 CRM-Add-on für Gravity Forms: Gespeicherte Cross-Site-Scripting-Schwachstelle
Zusammenfassung
Das click5 CRM-Add-on für Gravity Forms, ein WordPress-Plugin, bis und mit Version 1.0.3 bereinigt und maskiert Inhalte nicht, die über einen nicht authentifizierten Endpunkt übermittelt werden, bevor sie auf einer Admin-Seite ausgegeben werden. Ein anonymer Angreifer kann schädlichen Skriptcode speichern, der im Browser eines angemeldeten Administrators ausgeführt wird, sobald dieser die betroffene Seite öffnet. Dadurch könnten eine Session-Übernahme oder die Übernahme der WordPress-Website möglich sein. Eine korrigierte Version ist nicht bekannt.
Betroffen
- click5 CRM-Add-on für Gravity Forms (WordPress-Slug gf-add-on-by-click5), Versionen 0 bis 1.0.3
- Standardkonfiguration: Unbekannt.
Behoben in
Unbekannt. Es ist keine korrigierte Version bekannt; WPScan führt den Status als No known fix.
Umgehung
- Das click5 CRM-Add-on entfernen oder deaktivieren, falls keine korrigierte Version verfügbar ist.
- Bis zur Entfernung den Zugriff auf die betroffenen Admin-Bildschirme einschränken und Formulareinträge aus unbekannten Quellen prüfen, bevor sie im Admin-Bereich angezeigt werden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht in der CISA-KEV-Liste aufgeführt.
- EPSS etwa 0.3%.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Websites mit WordPress-Inventar auf das click5 CRM-Add-on prüfen, insbesondere solche mit Gravity Forms.
- Das Add-on entfernen oder deaktivieren, falls es vorhanden ist und keine korrigierte Version existiert.
- Auf eine neuere Version des Herstellers prüfen, da in dieser Recherche keine gefunden wurde.
- Herstellerangaben, WPScan und die CISA-KEV-Liste auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry CVE-2026-84260 wpscan.com
- OpenCVE CVE-2026-84260 app.opencve.io
- Vulners VulnCheck/CISA data CVE-2026-84260 vulners.com
- Vulners NVD CVE-2026-84260 vulners.com
- Strix CVE-2026-84260 www.strix.ai
- Patchstack advisory via Vulners vulners.com
- FAIR package listing WPForms add-on by click5 fair.pm
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.