CVE-2026-71249 in Contact Form Plugin
要約
〜によって VulDB • 2026年08月06日
299Koの公開コンタクトフォーム（plugin/contact/controllers/ContactController.php、home()）は、サニタイズ処理を行わずに生のPOSTフィールド値（name、firstname、email、message）をページテンプレートに設定しています。テンプレートエンジンの変数出力関数（common/Template.php、_show_var()）では htmlspecialchars() 呼び出しなしで値がエコーされ、シンクテンプレート（contact.tpl）はこれらの値をHTML属性およびtextarea内にエスケープせずに出力します。認証されていない攻撃者は name="><script>alert(document.domain)</script> のようなペイロードを送信し、フォームの送信者や自動送信に騙された訪問者（対象管理者を含む）に対して反射型XSSを実現でき、セッショントークンの盗難を可能にします。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.