Veille sécuritéCMS & e-commerce
P4Faible
Contact Form by Supsystic avant 1.11.1 ne neutralise pas les caractères CR/LF et ne revalide pas certains champs avant leur insertion dans des en-têtes de courriel. Un utilisateur non authentifié peut ainsi ajouter des destinataires, notamment en Cc ou Bcc; mettre à jour vers la version 1.11.1.
WordPress
IdentifiantCVE-2026-115303
GravitéFaible
Exploitationnon connue / non déterminée
Correctif1.11.1
Source : NVD — CVE-2026-115303
Analyse technique
Le problème concerne les formulaires configurés pour mapper un champ soumis vers les en-têtes Reply-To, From ou Cc.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée; cette date est retenue comme publication de la vulnérabilité.
ImpactDes en-têtes de courriel arbitraires peuvent être ajoutés aux notifications envoyées par le formulaire.
Versions affectéesContact Form by Supsystic avant 1.11.1
Version corrigée1.11.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,22% · percentile 13,0%
Publication2026-10-29T09:17:08.097Z
Mise à jour2026-10-29T15:18:27.920Z
Détection / vérification
Vérifier si Contact Form by Supsystic est antérieur à 1.11.1 et si des champs soumis sont utilisés dans les en-têtes Reply-To, From ou Cc.
Action recommandée
Mettre à jour vers Contact Form by Supsystic 1.11.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).