Veille sécuritéCMS & e-commerce
P3Élevée
Contact Form by Supsystic avant 1.11.1 ne cloisonne pas le moteur de templates utilisé pour rendre les formulaires, permettant à un administrateur de faire exécuter du code de template côté serveur. Le contenu injecté étant exécuté lors du chargement d’une page comportant le formulaire, un visiteur peut alors provoquer la divulgation de secrets serveur ; mettre à jour vers la version 1.11.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-115301
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.11.1
Source : NVD — CVE-2026-115301
Analyse technique
Injection de template côté serveur via le contenu stocké de l’éditeur de formulaires, puis exécution lors de l’affichage du formulaire.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29T06:17:20.080Z, dans la période demandée.
ImpactExécution de code côté serveur par un administrateur et possibilité de divulguer des secrets serveur lors du chargement d’une page contenant le formulaire.
Versions affectéesVersions antérieures à 1.11.1
Version corrigée1.11.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 16,6%
Publication2026-10-29T06:17:20.080Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour Contact Form by Supsystic vers la version 1.11.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).