CVE-2026-115595

Wtyczka WordPress 'Contact Form by Supsystic' w wersji przed 1.11.1 nie usuwa znaków CR/LF ani nie waliduje ponownie wartości pól przed dołączeniem ich do nagłówków wychodzących wiadomości e-mail, gdy formularz mapuje pole na nagłówek Reply-To, From lub Cc. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych nagłówków e-mail, takich jak dodatkowi odbiorcy Bcc lub Cc, do wiadomości powiadomienia.

W wtyczce Contact Form by Supsystic firmy Supsystic występuje podatność polegająca na umieszczaniu poufnych informacji w wysyłanych danych, umożliwiająca odczytanie osadzonych poufnych danych. Problem dotyczy wersji od nieznanej do 1.10.5 włącznie.

Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez nagłówek adresu IP we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Nieuwierzytelniony atakujący może najpierw wywołać akcję 'updateNonce' — dostępną bez uwierzytelnienia z powodu jej braku na liście uprawnień wtyczki — aby uzyskać ważny nonce, a następnie wysłać formularz kontaktowy ze złośliwym ładunkiem w sfałszowanym nagłówku IP, takim jak X-Forwarded-For.

Wtyczka Contact Form by Supsystic w wersji starszej niż 1.10.0 ma podatność na obejście zabezpieczeń bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może ominąć mechanizmy ochrony i uzyskać nieautoryzowany dostęp.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Contact Form by Supsystic w wersjach starszych niż 1.10.0.