CVE-2026-71249 in Contact Form Plugin
Resumen
por VulDB • 2026-08-05
El formulario de contacto público de 299Ko (plugin/contact/controllers/ContactController.php, home()) establece los valores sin procesar del campo POST (nombre, nombre_pila, correo_electrónico, mensaje) en la plantilla de página sin ninguna sanitización. La función de salida de variables del motor de plantillas (common/Template.php, _show_var()) imprime estos valores sin llamar a htmlspecialchars(), y la plantilla sumidero (contact.tpl) muestra dichos valores sin escapar dentro de un atributo HTML y una etiqueta textarea. Un atacante no autenticado puede enviar una carga útil como name="><script>alert(document.domain)</script> para lograr una XSS reflejada contra cualquier visitante que envíe o sea inducido a enviar automáticamente el formulario, incluido un administrador objetivo, lo que permite el robo del token de sesión.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.