Contact Form by Supsystic: Server-seitige Template-Injection über Formular-Textblock
Zusammenfassung
Das WordPress-Plugin Contact Form by Supsystic vor Version 1.11.1 sandboxt seine Template-Engine nicht, daher werden im Formular-Editor gespeicherte Inhalte als Template-Code kompiliert und ausgeführt. Ein Administrator kann so serverseitigen Template-Code einschleusen und beliebigen Code auf dem Server ausführen. Die gespeicherte Nutzlast wird bei jedem Seitenaufruf mit dem Formular ausgeführt, wodurch auch nicht angemeldete Besucher serverseitige Geheimnisse wie Authentifizierungs-Salts und Datenbank-Zugangsdaten auslesen können.
Betroffen
- Plugin-Versionen von Contact Form by Supsystic vor 1.11.1 (Angabe des CNA)
- VulDB nennt bis einschliesslich 1.11.0
Behoben in
- Version 1.11.1 (laut VulDB und Threat Radar; nicht anhand des Changelogs des Herstellers überprüft)
Umgehung
Unbekannt.
Ausnutzung
- Laut Threat Radar keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC: Exploitation none
- Kein öffentlicher Proof of Concept gefunden
- VulDB kennzeichnet den Eintrag als '0-Day'; die Bedeutung dieser Kennzeichnung wurde nicht verifiziert
Unsere Empfehlung
- Prüfen Sie auf jeder WordPress-Website, die dieses Plugin nutzt, die installierte Plugin-Version.
- Aktualisieren Sie auf 1.11.1 oder höher und bestätigen Sie die Behebung im Changelog auf WordPress.org oder beim Hersteller.
- Beschränken Sie die Administratorkonten und aktivieren Sie die Zwei-Faktor-Authentifizierung.
- Prüfen Sie gespeicherte Formularinhalte auf unerwartete Template-Syntax.
- Falls eine Website Version 1.7.36 oder älter betrieben hat, gehen Sie von einer möglichen Kompromittierung aus und prüfen Sie auf Indikatoren von CVE-2026-4257.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Contact Form by Supsystic < 1.11.1 - Admin+ SSTI via Form Text Block wpscan.com
- VulDB: CVE-2026-115301 entry 428308 vuldb.com
- VulDB: CVE-2026-115301 vuldb.com
- Strix: CVE-2026-115301 www.strix.ai
- Threat Radar: CVE-2026-115301 (CWE-94) radar.offseq.com
- WordPress.org: Contact Form by Supsystic en-au.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 03:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.