CVE-2026-4257: Plugin Contact Form da Supsystic para WordPress: Injeção de Template no Servidor

Visão geral

O plugin Contact Form by Supsystic para WordPress apresenta uma falha de injeção de template no lado do servidor (SSTI), classificada como CWE-94 (Injeção de Código). Segundo o registro, o problema decorre da renderização dos valores dos campos do formulário por um mecanismo de templates Twig sem sandboxing, e uma funcionalidade de preenchimento prévio aceita dados de requisições não autenticadas.

Impacto

A descrição indica que a falha pode levar à execução remota de código no servidor web. O vetor CVSS 3.1 classifica o impacto em confidencialidade, integridade e disponibilidade como Alto, sem exigir privilégios nem interação do usuário.

• Uma exploração bem-sucedida permitiria, segundo a descrição, a execução de código no contexto do servidor web.
• Sites que usam o plugin afetado estão expostos, mesmo sem contas de usuário.

Produtos e versões afetadas

A descrição informa que todas as versões até a 1.7.36 inclusive são afetadas. A lista estruturada de produtos afetados no registro está vazia, portanto a faixa exata de versões deve ser confirmada junto ao fornecedor e na entrada da Wordfence.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS presente no registro é uma probabilidade de modelo e não é evidência de que a exploração tenha ocorrido.

Correção e mitigação

• Identifique todos os sites WordPress que utilizam o plugin Contact Form by Supsystic, incluindo versões até a 1.7.36.
• Consulte o changeset do plugin e a entrada da Wordfence para identificar a primeira versão que contém a correção, e atualize assim que a versão corrigida for confirmada.
• Se o plugin não for essencial, desative e remova-o até que uma versão corrigida seja aplicada.
• Quando possível, restrinja o acesso às páginas com formulários e limite o uso da funcionalidade de preenchimento prévio enquanto aguarda a atualização.

Orientações de detecção

• Revise os logs do servidor web e do WAF em busca de conteúdo incomum em strings de consulta enviadas às páginas que hospedam os formulários do plugin, especialmente parâmetros com sintaxe semelhante a templates.
• Monitore processos PHP inesperados, novos arquivos ou conexões de saída originadas da conta do servidor web.
• Audite as instalações do WordPress quanto às versões do plugin e compare-as com as informações de lançamento do fornecedor.

Limitações das informações disponíveis

O registro não informa uma versão corrigida, e a lista estruturada de correções está vazia. O status de origem no NVD está registrado como Deferred, e seu significado não é documentado no registro. A referência ao changeset sugere uma alteração de código, mas não confirma qual versão a inclui.

Perguntas frequentes

Quais versões são afetadas?

A descrição informa que todas as versões até a 1.7.36 inclusive são afetadas. A lista estruturada de produtos afetados está vazia, então confirme a faixa exata com o fornecedor e na entrada da Wordfence.

Esta CVE está sendo explorada na prática?

O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS é uma estimativa de probabilidade, não prova de exploração.

O que os responsáveis pelos sites devem fazer agora?

Identifique os sites que usam o plugin, verifique se há uma versão corrigida confirmada, remova o plugin se ele não for necessário e monitore os logs em busca de requisições incomuns às páginas de formulário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.