De cms-fuer-motorrad-werkstaetten plugin voor WordPress is kwetsbaar voor Cross-Site Request Forgery in versies tot en met 1.0.0. Dit komt door het ontbreken van nonce validatie op alle acht AJAX verwijder handlers: vehicles_cfmw_d_vehicle, contacts_cfmw_d_contact, suppliers_cfmw_d_supplier, receipts_cfmw_d_receipt, positions_cfmw_d_position, catalogs_cfmw_d_article, stock_cfmw_d_item, en settings_cfmw_d_catalog. Geen van deze handlers roept check_ajax_referer() of wp_verify_nonce() aan, noch voeren ze

Een succesvolle CSRF-aanval kan leiden tot ongeautoriseerde wijzigingen in de data binnen de cms-fuer-motorrad-werkstaetten plugin. Dit omvat het verwijderen van voertuigen, contacten, leveranciers, bonnen, posities, catalogi en instellingen. Aangezien de plugin waarschijnlijk wordt gebruikt voor het beheer van motorwerkplaatsgegevens, kan dit leiden tot aanzienlijke operationele verstoringen en potentieel financieel verlies. De impact is verhoogd omdat de kwetsbaarheid betrekking heeft op meerdere AJAX-handlers, waardoor het aanvalsoppervlak aanzienlijk wordt vergroot. Een aanvaller kan deze kwetsbaarheid gebruiken om de integriteit van de data te compromitteren en de functionaliteit van de plugin te verstoren.

WordPress websites utilizing the cms-fuer-motorrad-werkstaetten plugin, particularly those running versions prior to the patched release, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially be leveraged to attack others.

• wordpress / composer / npm:

grep -r 'vehicles_cfmw_d_vehicle|contacts_cfmw_d_contact|suppliers_cfmw_d_supplier|receipts_cfmw_d_receipt|positions_cfmw_d_position|catalogs_cfmw_d_article|stock_cfmw_d_item|settings_cfmw_d_catalog' /var/www/html/wp-content/plugins/cms-fuer-motorrad-werkstaetten/

• generic web:

curl -I https://example.com/wp-admin/admin-ajax.php?action=vehicles_cfmw_d_vehicle | grep -i '200 ok'

1. 2026-04-17Disclosure

   disclosure

1. Gereserveerd2026-04-16
2. Gepubliceerd2026-04-17
3. Gewijzigd2026-04-22
4. EPSS bijgewerkt2026-04-24

De primaire mitigatie is het upgraden naar een beveiligde versie van de cms-fuer-motorrad-werkstaetten plugin zodra deze beschikbaar is. Als een directe upgrade niet mogelijk is, kan een tijdelijke workaround het implementeren van een Web Application Firewall (WAF) zijn die CSRF-tokens valideert voor de AJAX-verwijderhandlers. Daarnaast kan het handmatig controleren van alle wijzigingen in de plugin-data helpen om ongeautoriseerde acties te detecteren. Controleer de WordPress plugin directory voor updates. Na de upgrade, controleer de plugin-instellingen en logboeken op verdachte activiteit.