# CVE-2026-84254 : The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 n’a pas vérifié l’autorisation et ne vérifie pas les CSRF lors de la mise à jour des options via un endpoint REST

> Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-84254-wordpress-plugins
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : WordPress — Plugins
- Produits : WordPress
- Correctif disponible : non · PoC public : non · Exploitée : non
- Publiée le 12 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 12 octobre 2026 (11 octobre 2026)
- Mots clés : wordpress-plugins, controle-d-acces

## Action recommandée

Évaluer et appliquer les correctifs du plugin; limiter les méthodes REST exposées.

## Le contexte

Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog et potentiellement créer un compte administrateur.

## Vecteur d'attaque

endpoint REST sans autorisation et CSRF non protégé

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| WordPress | click5 CRM add-on for Contact Form 7 \<= 1.0.4 | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

## La vulnérabilité

### CVE-2026-84254 : Contrôle d’accès insuffisant / CSRF

WordPress · CVSS 9.8

The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 does not have authorisation and CSRF checks when updating options via a REST endpoint, and does not ensure that the option to be updated belongs to the click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4.

Impact : Création/prise de contrôle d’un admin sans authentification

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

## Recommandations

- Mettre à jour le plugin Click5 CRM vers une version qui corrige les contrôles d’accès.
- Éliminer les endpoints REST non nécessaires et activer les protections CSRF.

## Ce qu'il faut retenir

Évaluer et appliquer les correctifs du plugin; limiter les méthodes REST exposées.

Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : 11 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories) (vendor)
- [NVD - CVE-2026-84254](https://nvd.nist.gov/vuln/detail/CVE-2026-84254) (nvd)
- [CVE-2026-84254 : source primaire](https://github.com/advisories/GHSA-xj8c-cq6p-8j43) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-84254-wordpress-plugins. Analyse à usage défensif uniquement.