CVE-2026-115302

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie izoluje silnika szablonów używanego do renderowania formularzy i pozwala, aby zapisana treść edytora formularzy trafiła do tego silnika jako wykonywalny kod szablonu. Umożliwia to administratorowi przeprowadzenie server-side template injection i wykonanie dowolnego kodu na serwerze; wstrzyknięty szablon jest kompilowany i wykonywany przy każdym załadowaniu strony z formularzem, więc zapisany payload pozwala także nieuwierzytelnionemu odwiedzającemu odczytać sekrety serwera, takie jak sole uwierzytelniania i dane dostępowe do bazy danych.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.