CVE-2025-15705
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.
Ocena ryzyka
Podatność typu stored XSS może prowadzić do wykonania złośliwego skryptu w przeglądarce innych użytkowników, w tym administratorów, co grozi przejęciem sesji lub eskalacją uprawnień w instalacjach multisite.
Rekomendacja
Zaktualizuj wtyczkę Contact Form by Supsystic do wersji 1.8.0 lub nowszej. Sprawdź istniejące nazwy formularzy pod kątem wstrzykniętych skryptów.
Inne podatności w Contact Form by Supsystic WordPress plugin
Zobacz wszystkie- CVE-2026-115302Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.
- CVE-2026-115301Wysokie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie izoluje silnika szablonów używanego do renderowania formularzy i pozwala, aby zapisana treść edytora formularzy trafiła do tego silnika jako wykonywalny kod szablonu. Umożliwia to administratorowi przeprowadzenie server-side template injection i wykonanie dowolnego kodu na serwerze; wstrzyknięty szablon jest kompilowany i wykonywany przy każdym załadowaniu strony z formularzem, więc zapisany payload pozwala także nieuwierzytelnionemu odwiedzającemu odczytać sekrety serwera, takie jak sole uwierzytelniania i dane dostępowe do bazy danych.
- CVE-2026-115300Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.
- CVE-2026-115299Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.
Oryginalny opis (angielski, źródło NVD)
The Contact Form by Supsystic WordPress plugin before 1.8.0 does not sanitise and escape a form name, allowing users with access to the form editor to inject arbitrary web scripts that execute when another user views the form. On multisite installations, where administrators do not hold the unfiltered_html capability, this crosses a privilege boundary.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS