CVE-2026-115299
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.
Ocena ryzyka
Atakujący może przechwycić lub przekierować powiadomienia formularza kontaktowego, w tym dane osobowe przesyłane przez użytkowników, oraz wykorzystać przejętą konfigurację SMTP do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Contact Form by Supsystic do wersji 1.11.1 lub nowszej. Zweryfikuj ustawienia SMTP i odbiorców powiadomień oraz rozważ rotację danych dostępowych do serwera poczty.
Inne podatności w Contact Form by Supsystic WordPress plugin
Zobacz wszystkie- CVE-2026-115302Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.
- CVE-2026-115301Wysokie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie izoluje silnika szablonów używanego do renderowania formularzy i pozwala, aby zapisana treść edytora formularzy trafiła do tego silnika jako wykonywalny kod szablonu. Umożliwia to administratorowi przeprowadzenie server-side template injection i wykonanie dowolnego kodu na serwerze; wstrzyknięty szablon jest kompilowany i wykonywany przy każdym załadowaniu strony z formularzem, więc zapisany payload pozwala także nieuwierzytelnionemu odwiedzającemu odczytać sekrety serwera, takie jak sole uwierzytelniania i dane dostępowe do bazy danych.
- CVE-2026-115300Średnie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.
- CVE-2025-15705Niskie
Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not verify a CSRF nonce before saving its mail settings, allowing an attacker to overwrite the site's outbound mail configuration, including the SMTP server, its credentials and the notification recipient, by tricking a logged-in administrator into visiting a crafted page, which can route the Contact Form by Supsystic WordPress plugin before 1.11.1's contact-form notifications through infrastructure the attacker controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS