CVE-2026-4257: Contact Form by Supsystic <= 1.7.36 - Inyección de plantillas del lado del servidor no autenticada a través de la funcionalidad de pre-relleno | Kitploit

CVE-2026-4257

CríticoPublicado

Contact Form by Supsystic <= 1.7.36 - Inyección de plantillas del lado del servidor no autenticada a través de la funcionalidad de pre-relleno

Publicado: 30 mar 2026
Actualizado: 8 abr 2026
Asignación de CNA: Wordfence
Evidencia observada: 14 may 2026

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

41,5 %

Moderado · próximos 30 días

Percentil: 98,7 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

El plugin Contact Form by Supsystic para WordPress es vulnerable a la inyección de plantillas del lado del servidor (SSTI) lo que lleva a la ejecución remota de código (RCE) en todas las versiones hasta la 1.7.36, inclusive. Esto se debe a que el plugin utiliza el motor de plantillas Twig 'Twig_Loader_String' sin sandboxing, combinado con la funcionalidad de precarga 'cfsPreFill' que permite a los usuarios no autenticados inyectar expresiones Twig arbitrarias en los valores de los campos del formulario a través de parámetros GET. Esto hace posible que atacantes no autenticados ejecuten funciones PHP y comandos del sistema operativo arbitrarios en el servidor aprovechando el método 'registerUndefinedFilterCallback()' de Twig para registrar retrollamadas PHP arbitrarias.

Fuentes

cve-2026-4257Exploit
Exploit para CVE-2026-4257: Inyección de plantillas del lado del servidor en Contact Form by Supsystic plugin de WordPress (≤1.7.36) que permite ejecución remota de código no autenticada mediante campos de formulario controlados por el usuario.
CVE-2026-4257PoC
Exploit de prueba de concepto para CVE-2026-4257: Inyección de plantillas del lado del servidor (SSTI) que conduce a la ejecución remota de código en Contact Form by Supsystic <= 1.7.36.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.