MEDIUMCVE-2026-6396CVSS 4.3

Fast & Fancy Filter – 3F <= 1.2.2 - Cross-Site Request Forgery zur Einstellungsmödigkeit über fff_save_settins AJAX Action

Plattform

wordpress

Komponente

fast-fancy-filter-3f

Behoben in

1.2.3

1.2.3

AI Confidence: highNVDEPSS 0.0%Geprüft: Mai 2026
Wird in Ihre Sprache übersetzt…

CVE-2026-6396 describes a Cross-Site Request Forgery (CSRF) vulnerability affecting the Fast & Fancy Filter – 3F plugin for WordPress. This flaw allows unauthenticated attackers to manipulate plugin settings and potentially create new content on a WordPress site. The vulnerability impacts versions up to and including 1.2.2, and a fix is available in subsequent releases.

WordPress

Erkenne diese CVE in deinem Projekt

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

Auswirkungen und Angriffsszenarienwird übersetzt…

An attacker exploiting this CSRF vulnerability could significantly compromise a WordPress site. By crafting malicious links or embedding them in deceptive content, they can trick a site administrator into unknowingly executing actions that modify plugin filter settings. This could lead to unauthorized changes to website functionality, the creation of malicious filter posts, or even the modification of arbitrary WordPress options. The potential impact extends to data integrity and website availability, as attackers could alter critical configurations to disrupt normal operations. While requiring user interaction (clicking a malicious link), the ease of social engineering makes this a concerning risk, especially for sites with administrative users who frequently click links from untrusted sources.

Ausnutzungskontextwird übersetzt…

CVE-2026-6396 was published on 2026-04-21. Currently, there are no known public exploits or active campaigns targeting this specific vulnerability. Its severity is rated as MEDIUM (CVSS 4.3), indicating a moderate risk. The vulnerability is not listed on KEV (Known Exploited Vulnerabilities) as of this writing. Monitor security advisories and threat intelligence feeds for any indications of exploitation.

Bedrohungsanalyse

Exploit-Status

Proof of ConceptUnbekannt
CISA KEVNO
Internet-ExponierungHoch
Berichte1 Bedrohungsbericht

EPSS

0.01% (1% Perzentil)

CISA SSVC

Ausnutzungnone
Automatisierbarno
Technische Auswirkungpartial

CVSS-Vektor

BEDROHUNGSANALYSE· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkWie der Angreifer das Ziel erreichtAttack ComplexityLowBedingungen zur erfolgreichen AusnutzungPrivileges RequiredNoneErforderliche AuthentifizierungsstufeUser InteractionRequiredOb ein Opfer eine Aktion ausführen mussScopeUnchangedAuswirkungen über die Komponente hinausConfidentialityNoneRisiko der Offenlegung sensibler DatenIntegrityLowRisiko nicht autorisierter DatenänderungAvailabilityNoneRisiko der Dienstunterbrechungnextguardhq.com · CVSS v3.1 Basis-Score
Was bedeuten diese Metriken?
Attack Vector
Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
Attack Complexity
Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
Privileges Required
Keine — ohne Authentifizierung ausnutzbar. Keine Zugangsdaten erforderlich.
User Interaction
Erforderlich — Opfer muss eine Datei öffnen, auf einen Link klicken oder eine Seite besuchen.
Scope
Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
Confidentiality
Keine — kein Vertraulichkeitseinfluss.
Integrity
Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
Availability
Keine — kein Verfügbarkeitseinfluss.

Betroffene Software

Komponentefast-fancy-filter-3f
Herstellerwordfence
Betroffener BereichBehoben in
0 – 1.2.21.2.3
1.2.21.2.3

Paketinformationen

Aktive Installationen
10
Plugin-Bewertung
5.0
Erfordert WordPress
5.0+
Kompatibel bis
5.7.15

Schwachstellen-Klassifikation (CWE)

Zeitleiste

  1. Reserviert
  2. Veröffentlicht
  3. Geändert
  4. EPSS aktualisiert
Kein Patch — 33 Tage seit Offenlegung

Mitigation und Workaroundswird übersetzt…

The primary mitigation for CVE-2026-6396 is to upgrade the Fast & Fancy Filter – 3F plugin to a version that addresses the missing nonce verification. If upgrading immediately is not feasible due to compatibility issues or testing requirements, consider implementing a Web Application Firewall (WAF) rule to block requests to the fffsavesettins AJAX action without a valid nonce. Alternatively, restrict access to the plugin's settings page to authenticated administrators only, limiting the potential attack surface. After upgrading, confirm the fix by attempting to trigger the fffsavesettins action via a crafted request and verifying that the action is rejected due to missing or invalid nonce.

So beheben

Kein bekannter Patch verfügbar. Bitte überprüfen Sie die Details der Vulnerability im Detail und setzen Sie Mitigationen basierend auf der Risikobereitschaft Ihrer Organisation ein. Es kann am besten sein, die betroffene Software zu deinstallieren und eine Alternative zu finden.

CVE-Sicherheitsnewsletter

Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.

Häufig gestellte Fragenwird übersetzt…

What is CVE-2026-6396 — CSRF in Fast & Fancy Filter – 3F?

CVE-2026-6396 is a Cross-Site Request Forgery (CSRF) vulnerability in the Fast & Fancy Filter – 3F WordPress plugin, allowing attackers to manipulate plugin settings via forged requests.

Am I affected by CVE-2026-6396 in Fast & Fancy Filter – 3F?

You are affected if you are using the Fast & Fancy Filter – 3F plugin in versions 1.2.2 or earlier. Check your plugin version and upgrade if necessary.

How do I fix CVE-2026-6396 in Fast & Fancy Filter – 3F?

Upgrade the Fast & Fancy Filter – 3F plugin to a version that includes the nonce verification fix. Consider a WAF rule as a temporary mitigation if upgrading is delayed.

Is CVE-2026-6396 being actively exploited?

As of now, there are no known public exploits or active campaigns targeting CVE-2026-6396, but it's crucial to apply the fix proactively.

Where can I find the official Fast & Fancy Filter – 3F advisory for CVE-2026-6396?

Refer to the plugin developer's website or the WordPress plugin repository for the latest advisory and update information regarding CVE-2026-6396.

Ist dein Projekt betroffen?

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.