O plugin cms-fuer-motorrad-werkstaetten para WordPress é vulnerável a Cross-Site Request Forgery em versões até e incluindo 1.0.0. Isso ocorre devido à falta de validação de nonce em todos os oito manipuladores de exclusão AJAX: vehicles_cfmw_d_vehicle, contacts_cfmw_d_contact, suppliers_cfmw_d_supplier, receipts_cfmw_d_receipt, positions_cfmw_d_position, catalogs_cfmw_d_article, stock_cfmw_d_item e settings_cfmw_d_catalog. Nenhum desses manipuladores chama check_ajax_referer() ou wp_verify_nonce(), nem realiza verificações de capacidade via current_user_can().

A vulnerabilidade CSRF no cms-fuer-motorrad-werkstaetten permite que um atacante execute ações arbitrárias no sistema WordPress, especificamente a exclusão de dados. O atacante pode, por exemplo, remover veículos, contatos, fornecedores, recibos, posições, catálogos e configurações, comprometendo a integridade dos dados armazenados. Como a validação de nonce está ausente, qualquer usuário autenticado no WordPress pode ser vítima de um ataque CSRF, mesmo que não tenha conhecimento da vulnerabilidade. A ausência de verificações de capacidade agrava o problema, permitindo que atacantes com privilégios limitados causem danos significativos.

WordPress websites utilizing the cms-fuer-motorrad-werkstaetten plugin, particularly those running versions prior to the patched release, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially be leveraged to attack others.

• wordpress / composer / npm:

grep -r 'vehicles_cfmw_d_vehicle|contacts_cfmw_d_contact|suppliers_cfmw_d_supplier|receipts_cfmw_d_receipt|positions_cfmw_d_position|catalogs_cfmw_d_article|stock_cfmw_d_item|settings_cfmw_d_catalog' /var/www/html/wp-content/plugins/cms-fuer-motorrad-werkstaetten/

• generic web:

curl -I https://example.com/wp-admin/admin-ajax.php?action=vehicles_cfmw_d_vehicle | grep -i '200 ok'

1. 2026-04-17Disclosure

   disclosure

1. Reservado2026-04-16
2. Publicada2026-04-17
3. Modificada2026-04-22
4. EPSS atualizado2026-04-24

A mitigação imediata para CVE-2026-6451 envolve a atualização do plugin cms-fuer-motorrad-werkstaetten para a versão corrigida, assim que disponível. Enquanto a atualização não for possível, considere implementar regras de firewall de aplicação web (WAF) para bloquear requisições AJAX suspeitas. Além disso, reforce as políticas de segurança do WordPress, exigindo autenticação multifator e restringindo o acesso a funções administrativas. Implementar um sistema de validação de nonce robusto nos handlers AJAX é crucial para prevenir futuros ataques CSRF.