CVE-2025-15705
Beschrijving NL
De WordPress-plugin Contact Form by Supsystic vóór versie 1.8.0 valideert en ontsnapt niet aan de formuliernaam, waardoor gebruikers met toegang tot de formuliereditor willekeurige webscripts kunnen injecteren die worden uitgevoerd wanneer een andere gebruiker het formulier bekijkt. In multisite-installaties, waar beheerders niet de unfiltered_html-bevoegdheid hebben, overschrijdt dit een privilegegrens.
Origineel (Engels) tonen
The Contact Form by Supsystic WordPress plugin before 1.8.0 does not sanitise and escape a form name, allowing users with access to the form editor to inject arbitrary web scripts that execute when another user views the form. On multisite installations, where administrators do not hold the unfiltered_html capability, this crosses a privilege boundary.