CVE-2026-71249 in Contact Form Plugin
Sumário
de VulDB • 05/08/2026
O formulário de contato público do 299Ko (plugin/contact/controllers/ContactController.php, home()) define valores brutos dos campos POST (nome, primeiro nome, e-mail, mensagem) no modelo da página sem sanitização. A função de saída de variáveis do mecanismo de modelos (common/Template.php, _show_var()) exibe os valores sem chamar htmlspecialchars(), e o modelo de destino (contact.tpl) gera esses valores não escapados em um atributo HTML e numa área de texto. Um atacante não autenticado pode enviar uma carga útil como name="><script>alert(document.domain)</script> para realizar XSS refletido contra qualquer visitante que envie ou seja induzido a submeter automaticamente o formulário, incluindo um administrador alvo, permitindo o roubo do token da sessão.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.