CVE-2026-115301
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie izoluje silnika szablonów używanego do renderowania formularzy i pozwala, aby zapisana treść edytora formularzy trafiła do tego silnika jako wykonywalny kod szablonu. Umożliwia to administratorowi przeprowadzenie server-side template injection i wykonanie dowolnego kodu na serwerze; wstrzyknięty szablon jest kompilowany i wykonywany przy każdym załadowaniu strony z formularzem, więc zapisany payload pozwala także nieuwierzytelnionemu odwiedzającemu odczytać sekrety serwera, takie jak sole uwierzytelniania i dane dostępowe do bazy danych.
Ocena ryzyka
Może dojść do pełnej kompromitacji serwera, w tym wykonania dowolnego kodu i wycieku krytycznych sekretów (sole, dane bazy danych), co może prowadzić do przejęcia całej witryny i danych.
Rekomendacja
Zaktualizuj wtyczkę Contact Form by Supsystic do wersji 1.11.1 lub nowszej. Przejrzyj zapisane formularze pod kątem podejrzanej treści i rozważ rotację sekretów oraz danych dostępowych do bazy.
Inne podatności w Contact Form by Supsystic WordPress plugin
Zobacz wszystkie- CVE-2026-115302Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.
- CVE-2026-115300Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.
- CVE-2026-115299Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.
- CVE-2025-15705Niskie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not sandbox the template engine used to render its forms and allows stored form-editor content to reach that engine as executable template code, enabling an administrator to perform server-side template injection and execute arbitrary code on the server. The injected template is compiled and executed whenever any visitor loads a page containing the form, so the stored payload also lets an unauthenticated visitor read server-side secrets such as authentication salts and database credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS