→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-115301 · contact-form-by-supsystic

تزریق قالب سمت سرور (Server-Side Template Injection) و اجرای کد دلخواه در افزونه Contact Form by Supsystic

افزونه Contact Form by Supsystic در نسخه‌های ۱.۱۱.۱ و پیش از آن، موتور قالب رندر فرم‌ها را در محیط ایزوله اجرا نمی‌کند و محتوای ذخیره‌شده در ویرایشگر فرم را به‌صورت کد قالب قابل‌اجرا به این موتور می‌رساند؛ بنابراین مدیر سایت می‌تواند با تزریق قالب سمت سرور کد دلخواه را روی سرور اجرا کند. قالب تزریق‌شده با بارگذاری هر صفحه‌ای که فرم در آن قرار دارد کامپایل و اجرا می‌شود و به بازدیدکننده احراز هویت‌نشده نیز امکان خواندن اسرار سمت سرور، از جمله نمک‌های احراز هویت و اطلاعات اتصال پایگاه داده، را می‌دهد. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با دیوار آتش برنامه‌های وب (WAF) محدود نمایید و از ادامه استفاده از نسخه آسیب‌پذیر بپرهیزید.