CVE-2026-4257
Contact Form by Supsystic <= 1.7.36 - حقن قوالب من جانب الخادم بدون مصادقة عبر وظيفة التعبئة المسبقة
- تم النشر
- 30/03/2026
- محدث
- 08/04/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 14/05/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 98.3%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
المكوّن الإضافي Contact Form by Supsystic لـ WordPress عرضة لثغرة حقن القوالب من جانب الخادم (Server-Side Template Injection - SSTI) والتي تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (Remote Code Execution - RCE) في جميع الإصدارات حتى 1.7.36 وما يشملها. ويعود السبب في ذلك إلى استخدام المكوّن الإضافي لمحرك القوالب Twig من نوع `Twig_Loader_String` دون عزل (sandboxing)، إلى جانب وظيفة الملء المسبق `cfsPreFill` التي تتيح للمستخدمين غير المصادقين حقن تعبيرات Twig عشوائية في قيم حقول النموذج عبر معاملات GET. وهذا يجعل من الممكن للمهاجمين غير المصادقين تنفيذ دوال PHP وأوامر نظام التشغيل على الخادم من خلال استغلال أسلوب `registerUndefinedFilterCallback()` في Twig لتسجيل عمليات استدعاء PHP عشوائية.
المصادر
modules/exploits/multi/http/wp_plugin_supsystic_contact_form_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,Unix,Windows($.exploit_multi/http/wp_plugin_supsystic_contact_form_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_plugin_supsystic_contact_form_rce.check)
http/cves/2026/CVE-2026-4257.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.