click5 CRM add-on to Contact Form 7: Unauthentifiziertes Stored XSS
Zusammenfassung
Das click5 CRM Add-on für das WordPress-Plugin Contact Form 7 bereinigt und maskiert Inhalte nicht, die über einen unauthentifizierten Endpunkt übermittelt und danach auf einer Admin-Seite ausgegeben werden. Ein unauthentifizierter Angreifer kann ein schädliches Skript einschleusen, das im Browser eines angemeldeten Administrators oder eines anderen privilegierten Benutzers ausgeführt wird, sobald dieser die betroffene Seite aufruft. Dies kann zur Übernahme von Sitzungen oder zur Ausführung von Aktionen im Namen des Administrators führen, was eine vollständige Übernahme der Website ermöglichen kann. Für die Ausnutzung muss eine privilegierte Person die Seite aufrufen.
Betroffen
- click5 CRM Add-on für Contact Form 7 (WordPress-Plugin-Slug cf7-add-on-by-click5), alle Versionen bis einschliesslich 1.0.4
- Hersteller: Unbekannt
Behoben in
- Unbekannt. Es ist keine korrigierte Version bekannt; das Plugin scheint nicht mehr gepflegt zu werden.
Umgehung
- Keine in den Quellen dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Nicht im KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlich bestätigter Proof of Concept.
Unsere Empfehlung
- Prüfen Sie, ob das Plugin auf einer öffentlich erreichbaren WordPress-Website installiert ist.
- Deaktivieren und entfernen Sie das Plugin, da keine Korrektur existiert.
- Falls eine Entfernung nicht möglich ist, beschränken Sie den Zugriff auf den WordPress-Admin-Bereich und öffnen Sie CRM- oder Formularübermittlungsseiten nicht aus unsicheren Quellen.
- Prüfen Sie Contact-Form-7-Übermittlungen auf verdächtige Skriptinhalte.
- Prüfen Sie auf Anzeichen einer Kompromittierung, etwa neue Administratorkonten, geänderte Optionen oder eingeschleuste Skripte.
- Beachten Sie, dass die Schwachstelle CVE-2026-84254 (CVSS 9.8) im selben Plugin unauthentifizierte Änderungen an Site-Optionen erlaubt, was die Entfernung dringlicher macht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability CVE-2026-84261 wpscan.com
- WPScan plugin page cf7-add-on-by-click5 wpscan.com
- GitHub advisory GHSA-3w72-95j2-ph87 github.com
- OpenCVE CVE-2026-84261 app.opencve.io
- WPScan vulnerability CVE-2026-84254 (sister flaw) wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.