CVE-2026-106649
NieznaneStreszczenie
Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersjach przed 2.4.29 nie blokuje użytkownikom z uprawnieniami autora i wyższymi zapisania dowolnego kodu JavaScript w konfiguracji przycisku formularza. Kod ten jest później wykonywany w przeglądarce każdego użytkownika, który kliknie przycisk, w tym administratora.
Ocena ryzyka
Umożliwia to atakującemu z niskimi uprawnieniami (autor) przejęcie sesji administratora i wykonanie działań w jego imieniu, co może prowadzić do pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Kali Forms do wersji 2.4.29 lub nowszej. Dodatkowo ogranicz role z uprawnieniami autora do zaufanych osób.
Inne podatności w Kali Forms WordPress plugin
Zobacz wszystkie- CVE-2026-107343Średnie
Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień w handlerze testowej wiadomości e-mail, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to użytkownikowi o niskich uprawnieniach, np. subskrybentowi, wysłanie z witryny wiadomości e-mail do dowolnego odbiorcy z podrobionym adresem nadawcy.
- CVE-2026-107342Średnie
Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień, gdy jej handler testowej wiadomości e-mail rozwiązuje i zwraca adres e-mail użytkownika, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (subskrybent i wyżej) ujawnienie adresu e-mail dowolnego zarejestrowanego użytkownika, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.29 does not prevent users with author-level access and above from storing arbitrary JavaScript in a form button configuration, which is later output into a JavaScript execution context and runs in the browser session of any user who clicks the button, including an administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS