The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 n’a pas vérifié l’autorisation et ne vérifie pas les CSRF lors de la mise à jour des options via un endpoint REST

Le contexte

Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog et potentiellement créer un compte administrateur.

Vecteur d'attaque

endpoint REST sans autorisation et CSRF non protégé

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | WordPress | click5 CRM add-on for Contact Form 7 <= 1.0.4 | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

La vulnérabilité

CVE-2026-84254 : Contrôle d’accès insuffisant / CSRF

WordPress · CVSS 9.8

The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 does not have authorisation and CSRF checks when updating options via a REST endpoint, and does not ensure that the option to be updated belongs to the click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4.

Impact : Création/prise de contrôle d’un admin sans authentification

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Recommandations

• Mettre à jour le plugin Click5 CRM vers une version qui corrige les contrôles d’accès.
• Éliminer les endpoints REST non nécessaires et activer les protections CSRF.

Ce qu'il faut retenir

Évaluer et appliquer les correctifs du plugin; limiter les méthodes REST exposées.

Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : 11 octobre 2026). Sources croisées listées ci-dessous.

• Kreomnis Vigie