CVE-2026-71249 in Contact Form Plugin
Riassunto
di VulDB • 05/08/2026
Il modulo di contatto pubblico di 299Ko (plugin/contact/controllers/ContactController.php, home()) inserisce i valori grezzi dei campi POST (nome, cognome, email, messaggio) nel template della pagina senza alcuna sanificazione. La funzione di output delle variabili del motore di template (common/Template.php, _show_var()) visualizza i valori senza chiamare htmlspecialchars(), e il sink del template (contact.tpl) restituisce questi valori non escapeati in un attributo HTML e in una textarea. Un attaccante non autenticato può inviare un payload come name="><script>alert(document.domain)</script> per ottenere una XSS riflessa contro qualsiasi visitatore che invia o viene indotto a inviare automaticamente il modulo, incluso un amministratore mirato, consentendo il furto del token di sessione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.