Contact Form by Supsystic: Server-seitige Template-Injection über Formular-Textblock
Das WordPress-Plugin Contact Form by Supsystic vor Version 1.11.1 sandboxt seine Template-Engine nicht, daher werden im Formular-Editor gespeicherte Inhalte als Template-Code kompiliert und ausgeführt. Ein Administrator kann so serverseitigen Template-Code einschleusen und beliebigen Code auf dem Server ausführen. Die gespeicherte Nutzlast wird bei jedem Seitenaufruf mit dem Formular ausgeführt, wodurch auch nicht angemeldete Besucher serverseitige Geheimnisse wie Authentifizierungs-Salts und Datenbank-Zugangsdaten auslesen können.
Supsystic · Contact Form by Supsystic
