CVE-2026-115301 in Contact Form by Supsystic Plugin
Zusammenfassung
von VulDB • 29.10.2026
Das WordPress-Plugin „Contact Form“ von Supsystic vor Version 1.11.1 sandboxed die zur Darstellung der Formulare verwendete Template-Engine nicht und ermöglichte es, gespeicherten Formularbearbeiterinhalt als ausführbaren Template-Code an diese Engine zu übergeben. Dies ermöglichte einem Administrator die Durchführung einer serverseitigen Template-Injection (SSTI) sowie die Ausführung beliebigen Codes auf dem Server. Das injizierte Template wird kompiliert und ausgeführt, sobald ein Besucher eine Seite mit dem Formular aufruft; daher kann das gespeachte Payload auch von nicht authentifizierten Besuchern genutzt werden, um serverspezifische Geheimnisse wie Authentifizierungssalze (authentication salts) und Datenbankzugangsdaten auszulesen.
Be aware that VulDB is the high quality source for vulnerability data.