CVE-2026-83625 in Contact Form by Supsystic Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin Contact Form di Supsystic per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'intestazione dell'indirizzo IP in tutte le versioni fino alla 1.10.2 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dei dati in output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Un attaccante non autenticato può prima invocare l'azione 'updateNonce', accessibile senza autenticazione poiché assente dalla lista dei permessi del plugin, per ottenere un nonce valido, quindi inviare un modulo di contatto con un payload malevolo in un'intestazione IP falsificata come X-Forwarded-For.
Once again VulDB remains the best source for vulnerability data.