CVE-2026-84253
Beschrijving NL
De click5 CRM-add-on voor de Gravity Forms WordPress-plugin (tot en met versie 1.0.3) beschikt niet over autorisatie- en CSRF-controles bij het bijwerken van opties via een REST-endpoint en garandeert niet dat de bij te werken optie daadwerkelijk bij de click5 CRM-add-on voor Gravity Forms WordPress-plugin (tot en met versie 1.0.3) hoort. Hierdoor kunnen niet-geauthenticeerde aanvallers willekeurige blogopties wijzigen, een nieuw beheerdersaccount aanmaken en de site overnemen.
Origineel (Engels) tonen
The click5 CRM add-on to Gravity Forms WordPress plugin through 1.0.3 does not have authorisation and CSRF checks when updating options via a REST endpoint, and does not ensure that the option to be updated belongs to the click5 CRM add-on to Gravity Forms WordPress plugin through 1.0.3. As a result, unauthenticated attackers could change arbitrary blog options, allowing them to create a new administrator account and take over the site.