GHSA-ghmm-gqr3-xwc7

В версиях плагина Contact Form by Supsystic для WordPress до 1.11.1 символы CR/LF не удалялись, а значения отправленных полей повторно не проверялись перед объединением с заголовками исходящего электронного письма. Если поле было настроено для подстановки в заголовок Reply-To, From или Cc, неаутентифицированные пользователи могли внедрять произвольные заголовки электронной почты, например дополнительных получателей Bcc или Cc, в уведомление.