Contact Form by Supsystic < 1.11.1 - Arbitrary Plugin Settings Update via CSRF

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

The Contact Form by Supsystic WordPress plugin before 1.11.1 does not verify a CSRF nonce before saving its mail settings, allowing an attacker to overwrite the site's outbound mail configuration, including the SMTP server, its credentials and the notification recipient, by tricking a logged-in administrator into visiting a crafted page, which can route the Contact Form by Supsystic WordPress plugin before 1.11.1's contact-form notifications through infrastructure the attacker controls.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/102bbaf2-12c8-48b9-bacb-28de2baec45b İstismar kodu ya da analiz

Kayıt geçmişi

1. 29 Eki 2026 14:00CVSS puanı değişti: – → 5.4
2. 29 Eki 2026 09:00Yayımlandı

İlgili açıklar

• 3,7 CVE-2026-115303Contact Form by Supsystic < 1.11.1 - Unauthenticated CRLF / Email Header Injection via Reply-To Field Mapping
• 4,3 CVE-2026-115300Contact Form by Supsystic < 1.11.1 - Contact Submission and Statistics Deletion via CSRF
• 7,2 CVE-2026-115301Contact Form by Supsystic eklentisinde şablon motoru üzerinden sunucu tarafı şablon enjeksiyonu (SSTI)
• 5,3 CVE-2026-115302Contact Form by Supsystic < 1.11.1 - Unauthenticated Arbitrary Statistics Deletion
• 3,5 CVE-2025-15705Supsystic Contact Form eklentisinde yönetici yetkisine sahip kullanıcılar için kalıcı XSS açığı
• 8,1 CVE-2026-61671WeGIA: Kayıt sahipliği denetimi eksik IDOR ve CSRF koruması eksik (3.8.7 öncesi)