CVE-2026-71249 in Contact Form Plugin
Résumé
par VulDB • 05/08/2026
Le formulaire de contact public de 299Ko (plugin/contact/controllers/ContactController.php, home()) définit les valeurs brutes des champs POST (name, firstname, email, message) dans le modèle de page sans aucune sanitization. La fonction d'affichage des variables du moteur de template (common/Template.php, _show_var()) affiche ces valeurs sans appel à htmlspecialchars(), et le template sink (contact.tpl) restitue ces valeurs non échappées dans un attribut HTML et une zone textarea. Un attaquant non authentifié peut soumettre une charge utile telle que name="><script>alert(document.domain)</script> pour réaliser une XSS réfléchie contre tout visiteur qui soumet ou est induit en erreur afin de soumettre automatiquement le formulaire, y compris un administrateur ciblé, permettant ainsi le vol du jeton de session.
Be aware that VulDB is the high quality source for vulnerability data.