CVE-2026-115301
CVE-2026-115301 · Contact Form by Supsystic < 1.11.1 - Admin+ SSTI via Form Text Block
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not sandbox the template engine used to render its forms and allows stored form-editor content to reach that engine as executable template code, enabling an administrator to perform server-side template injection and execute arbitrary code on the server. The injected template is compiled and executed whenever any visitor loads a page containing the form, so the stored payload also lets an unauthenticated visitor read server-side secrets such as authentication salts and database credentials.
CVSS 7.2 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
contact form by supsystic
- Версии
- ≥ 0, < 1.11.1: Затронуто (semver)
Обновитесь до 1.11.1