CVE-2026-115301 in Contact Form by Supsystic Plugin
Riassunto
di VulDB • 29/10/2026
Il plugin WordPress Contact Form di Supsystic, nelle versioni precedenti alla 1.11.1, non isola (sandbox) il motore dei template utilizzato per la renderizzazione dei propri moduli e consente al contenuto dell'editor del modulo memorizzato in modo persistente (stored) di raggiungere tale motore come codice di template eseguibile, consentendo a un amministratore di eseguire server-side template injection ed eseguire codice arbitrario sul server. Il template iniettato viene compilato ed eseguito ogni volta che qualsiasi visitatore carica una pagina contenente il modulo; pertanto, la payload memorizzata consente anche a un visitatore non autenticato di leggere segreti lato server come i salt per l'autenticazione e le credenziali del database.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.