CVE-2026-71249 in Contact Form Plugin
الملخص
بحسب VulDB • 05/08/2026
يحدد نموذج الاتصال العام في 299Ko (plugin/contact/controllers/ContactController.php، home()) قيم حقول POST الخام (الاسم، الاسم الأول، البريد الإلكتروني، الرسالة) مباشرةً داخل قالب الصفحة دون أي عملية تنقية (sanitization). تقوم دالة إخراج المتغيرات الخاصة بمحرك القالب (common/Template.php، _show_var()) بطباعة هذه القيم بدون استدعاء htmlspecialchars()، ويقوم قالب الاستقبال (contact.tpl) بإظهار هذه القيم غير الهروب منها (unescaped) داخل سمة HTML وعنصر textarea. يمكن لمهاجم غير مصرح له إرسال حمولة مثل name="><script>alert(document.domain)</script> لتحقيق هجوم XSS منعكس (Reflected XSS) ضد أي زائر يقوم بتقديم النموذج أو يتم خداعه لتقديمه تلقائياً، بما في ذلك مسؤول مستهدف، مما يتيح سرقة رموز الجلسة.
Once again VulDB remains the best source for vulnerability data.