CVE-2026-84252

KrytyczneCVSS 9.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.

Ocena ryzyka

Atakujący może całkowicie przejąć kontrolę nad witryną WordPress, tworząc konto administratora i modyfikując ustawienia, co może prowadzić do naruszenia integralności i dostępności strony.

Rekomendacja

Zaktualizuj wtyczkę click5 CRM do WPForms do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz dostęp do punktów końcowych REST i wdróż dodatkowe mechanizmy autoryzacji.

Inne podatności w click5 CRM add-on to WPForms

CVE-2026-84259Wysokie
Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Oryginalny opis (angielski, źródło NVD)

The click5 CRM add-on to WPForms WordPress plugin through 1.0.3 does not have authorisation and CSRF checks when updating options via a REST endpoint, and does not ensure that the option to be updated belongs to the click5 CRM add-on to WPForms WordPress plugin through 1.0.3. As a result, unauthenticated attackers could change arbitrary blog options, allowing them to create a new administrator account and take over the site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS