Contact Form by Supsystic: Offenlegung sensibler Daten im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Contact Form by Supsystic bis einschliesslich Version 1.10.5 kann sensible Daten offenlegen, die in gesendeten Daten eingebettet sind. Der CNA-Vektor erfordert keine Anmeldung und keine Benutzerinteraktion, daher kann ein Angreifer die Daten von einer öffentlich erreichbaren Website mit aktivem Plugin abrufen. Welche Daten offengelegt werden, ist unbekannt.
Betroffen
- Contact Form by Supsystic (WordPress-Plugin) bis einschliesslich 1.10.5
- Der CNA-Bereich reicht von n/a bis 1.10.5; einige Quellen nennen 1.10.0 bis 1.10.5
Behoben in
- Patchstack und CNA: Aktualisierung auf Version 1.10.7 oder neuer
- Verwandte CVEs im selben Plugin sind in Version 1.11.1 behoben, die als Zielversion empfohlen wird
- Status von Version 1.10.6: Unbekannt.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Falls das Plugin nicht benötigt wird, deaktivieren und entfernen.
- Falls eine sofortige Aktualisierung nicht möglich ist, den Zugriff auf die betroffene Website einschränken oder deren Exposition begrenzen.
Ausnutzung
- Nicht als ausgenutzt bekannt; CISA KEV: Nein.
- CISA SSVC führt die Ausnutzung als keine; Patchstack erwartet eine Ausnutzung und stuft die Priorität als mittel ein.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Inventarisieren Sie WordPress-Websites mit diesem Plugin und prüfen Sie die installierte Version.
- Aktualisieren Sie auf Version 1.11.1 oder die neueste verfügbare Version.
- Prüfen Sie Formulardaten und Logs auf ungewöhnliche Zugriffe und erneuern Sie Zugangsdaten, die möglicherweise offengelegt wurden.
- Überprüfen Sie die behobene Version anhand der Patchstack-Seite und des WordPress.org-Changelogs.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry 427983 vuldb.com
- OffSeq radar (CVE-2026-115591) radar.offseq.com
- OffSeq radar (vulnerability overview) radar.offseq.com
- Strix CVE record www.strix.ai
- threatint CVE record cve.threatint.com
- OffSeq radar (CVE-2026-115595, same plugin, fixed in 1.11.1) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 11:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.