CVE-2026-115303
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'Contact Form by Supsystic' w wersji przed 1.11.1 nie usuwa znaków CR/LF ani nie waliduje ponownie wartości pól przed dołączeniem ich do nagłówków wychodzących wiadomości e-mail, gdy formularz mapuje pole na nagłówek Reply-To, From lub Cc. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych nagłówków e-mail, takich jak dodatkowi odbiorcy Bcc lub Cc, do wiadomości powiadomienia.
Ocena ryzyka
Atakujący może wykorzystać formularz do rozsyłania wiadomości do niepożądanych odbiorców lub prowadzenia działań phishingowych i spamu z zaufanego adresu witryny. Może to zaszkodzić reputacji organizacji i bezpieczeństwu poczty.
Rekomendacja
Należy zaktualizować wtyczkę do wersji 1.11.1 lub nowszej. Dodatkowo zaleca się weryfikację konfiguracji mapowania pól formularza na nagłówki e-mail i ograniczenie tej funkcji.
Inne podatności w Contact Form by Supsystic
Zobacz wszystkie- CVE-2026-115595Średnie
Wtyczka Contact Form by Supsystic do wersji 1.10.7 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115591Wysokie
W wtyczce Contact Form by Supsystic firmy Supsystic występuje podatność polegająca na umieszczaniu poufnych informacji w wysyłanych danych, umożliwiająca odczytanie osadzonych poufnych danych. Problem dotyczy wersji od nieznanej do 1.10.5 włącznie.
- CVE-2026-83625Wysokie
Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez nagłówek adresu IP we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Nieuwierzytelniony atakujący może najpierw wywołać akcję 'updateNonce' — dostępną bez uwierzytelnienia z powodu jej braku na liście uprawnień wtyczki — aby uzyskać ważny nonce, a następnie wysłać formularz kontaktowy ze złośliwym ładunkiem w sfałszowanym nagłówku IP, takim jak X-Forwarded-For.
- CVE-2026-73379Średnie
Wtyczka Contact Form by Supsystic w wersji starszej niż 1.10.0 ma podatność na obejście zabezpieczeń bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może ominąć mechanizmy ochrony i uzyskać nieautoryzowany dostęp.
- CVE-2026-73378Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Contact Form by Supsystic w wersjach starszych niż 1.10.0.
Oryginalny opis (angielski, źródło NVD)
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not strip CR/LF characters or re-validate submitted field values before concatenating them into outgoing email headers when a form is configured to map a submitted field into its Reply-To, From or Cc header, allowing unauthenticated users to inject arbitrary email headers such as additional Bcc or Cc recipients into the notification email.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS