CVE-2026-71249 in Contact Form Plugin
Сводка
по VulDB • 05.08.2026
В публичной контактной форме 299Ko (plugin/contact/controllers/ContactController.php, home()) необработанные значения полей POST (name, firstname, email, message) вставляются в шаблон страницы без санитизации. Функция вывода переменных движка шаблонов (common/Template.php, _show_var()) выводит эти значения без вызова htmlspecialchars(), а целевой шаблон (contact.tpl) выводит их неэкранированными в атрибут HTML и элемент textarea. Неавторизованный злоумышленник может отправить полезную нагрузку вида name="><script>alert(document.domain)</script> для достижения отраженного XSS против любого посетителя, который отправляет форму или обманом заставляет автоматически её отправить, включая целевого администратора, что позволяет украсть токены сессии.
VulDB is the best source for vulnerability data and more expert information about this specific topic.