CVE-2026-83625
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez nagłówek adresu IP we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Nieuwierzytelniony atakujący może najpierw wywołać akcję 'updateNonce' — dostępną bez uwierzytelnienia z powodu jej braku na liście uprawnień wtyczki — aby uzyskać ważny nonce, a następnie wysłać formularz kontaktowy ze złośliwym ładunkiem w sfałszowanym nagłówku IP, takim jak X-Forwarded-For.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką oraz wdrożenie odpowiedniej sanityzacji i ucieczki wyjścia dla nagłówków IP.
Inne podatności w Contact Form by Supsystic
Zobacz wszystkie- CVE-2026-115595Średnie
Wtyczka Contact Form by Supsystic do wersji 1.10.7 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115303Niskie
Wtyczka WordPress 'Contact Form by Supsystic' w wersji przed 1.11.1 nie usuwa znaków CR/LF ani nie waliduje ponownie wartości pól przed dołączeniem ich do nagłówków wychodzących wiadomości e-mail, gdy formularz mapuje pole na nagłówek Reply-To, From lub Cc. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych nagłówków e-mail, takich jak dodatkowi odbiorcy Bcc lub Cc, do wiadomości powiadomienia.
- CVE-2026-115591Wysokie
W wtyczce Contact Form by Supsystic firmy Supsystic występuje podatność polegająca na umieszczaniu poufnych informacji w wysyłanych danych, umożliwiająca odczytanie osadzonych poufnych danych. Problem dotyczy wersji od nieznanej do 1.10.5 włącznie.
- CVE-2026-73379Średnie
Wtyczka Contact Form by Supsystic w wersji starszej niż 1.10.0 ma podatność na obejście zabezpieczeń bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może ominąć mechanizmy ochrony i uzyskać nieautoryzowany dostęp.
- CVE-2026-73378Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Contact Form by Supsystic w wersjach starszych niż 1.10.0.
Oryginalny opis (angielski, źródło NVD)
The Contact Form by Supsystic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via IP Address Header in all versions up to, and including, 1.10.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An unauthenticated attacker can first call the 'updateNonce' action — which is accessible without authentication due to its absence from the plugin's permission list — to obtain a valid nonce, then submit a contact form with a malicious payload in a spoofed IP header such as X-Forwarded-For.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS