O plugin cms-fuer-motorrad-werkstaetten para WordPress é vulnerável a falsificação de solicitação de cruz de sítios em versões até e incluindo 1.0.0. Isto se deve à falta de validação de nãoce em todos os oito manipuladores de exclusão AJAX: vehicles_cfmw_d_vehicle, contacts_cfmw_d_contact, providers_cfmw_d_supplier, receives_cfmw_d_receipt, positions_cfmw_d_position, catalogs_cfmw_d_article, stock_cfmw_d_item, e settings_cfmw_d_catalog. Nenhum destes manipuladores chama check_ajax_referer() ou wp_verify_nonce(), nem executam quaisquer verificações de capacidade através do current_user_can(). Isto torna possível que os atacantes não autenticados excluam veículos arbitrários, contatos, fornecedores, recibos, posições, artigos de catálogo, itens de estoque ou catálogos de fornecedores inteiros por meio de um pedido falsificado, desde que possam enganar um usuário conectado para executar uma ação, como clicar num link para uma página maliciosa. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 6451 foi publicado em 2026 - 04 - 17 T 08: 16: 18.243 Z e última modificação em 2026 - 06 - 17 T 11: 00: 50.600 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 4.3, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N, pontuação de exploração 2.8, pontuação de impacto 1.4; CVSS. Classificações de fraqueza associadas: CWE- 352.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.