Contact Form by Supsystic < 1.11.1 - Contact Submission and Statistics Deletion via CSRF

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

The Contact Form by Supsystic WordPress plugin before 1.11.1 does not validate a CSRF token or request origin on two administrator-only actions that bulk-delete captured form submissions and wipe a form's statistics, allowing attackers to permanently destroy a site's stored contact leads and analytics by tricking a logged-in administrator into sending a forged request.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/5d994ec5-df25-4cfc-9b9f-fa4fe84b2e94 İstismar kodu ya da analiz

Kayıt geçmişi

1. 29 Eki 2026 14:00CVSS puanı değişti: – → 4.3
2. 29 Eki 2026 09:00Yayımlandı

İlgili açıklar

• 3,7 CVE-2026-115303Contact Form by Supsystic < 1.11.1 - Unauthenticated CRLF / Email Header Injection via Reply-To Field Mapping
• 7,2 CVE-2026-115301Contact Form by Supsystic eklentisinde şablon motoru üzerinden sunucu tarafı şablon enjeksiyonu (SSTI)
• 5,3 CVE-2026-115302Contact Form by Supsystic < 1.11.1 - Unauthenticated Arbitrary Statistics Deletion
• 5,4 CVE-2026-115299Contact Form by Supsystic < 1.11.1 - Arbitrary Plugin Settings Update via CSRF
• 3,5 CVE-2025-15705Supsystic Contact Form eklentisinde yönetici yetkisine sahip kullanıcılar için kalıcı XSS açığı
• 7,5 CVE-2026-119426phpMyAdmin through 5.2.3 CSRF Token Bypass via Non-AJAX POST to /sql