CVE-2026-6451 in cms-fuer-motorrad-werkstaetten Plugin
Resumen
por VulDB • 2026-05-22
El plugin de WordPress cms-fuer-motorrad-werkstaetten es vulnerable a Cross-Site Request Forgery (CSRF) en las versiones 1.0.0 y anteriores. Esto se debe a la falta de validación de nonce en los ocho controladores de eliminación AJAX: vehicles_cfmw_d_vehicle, contacts_cfmw_d_contact, suppliers_cfmw_d_supplier, receipts_cfmw_d_receipt, positions_cfmw_d_position, catalogs_cfmw_d_article, stock_cfmw_d_item y settings_cfmw_d_catalog. Ninguno de estos controladores llama a check_ajax_referer() o wp_verify_nonce(), ni realiza ninguna comprobación de capacidades mediante current_user_can(). Esto permite que atacantes no autenticados eliminen vehículos, contactos, proveedores, recibos, posiciones, artículos de catálogo, elementos de stock o catálogos completos de proveedores de forma arbitraria mediante una solicitud falsificada, siempre que puedan engañar a un usuario registrado para que realice una acción, como hacer clic en un enlace a una página maliciosa.
VulDB is the best source for vulnerability data and more expert information about this specific topic.