CVE-2026-107342
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień, gdy jej handler testowej wiadomości e-mail rozwiązuje i zwraca adres e-mail użytkownika, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (subskrybent i wyżej) ujawnienie adresu e-mail dowolnego zarejestrowanego użytkownika, w tym administratorów.
Ocena ryzyka
Użytkownik o minimalnych uprawnieniach może pozyskać adresy e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów. Ułatwia to phishing, ataki socjotechniczne i próby przejęcia kont.
Rekomendacja
Zaktualizuj wtyczkę Kali Forms do wersji 2.4.30 lub nowszej. Po aktualizacji sprawdź, czy funkcja testowej wiadomości e-mail nie ujawnia danych użytkowników.
Inne podatności w Kali Forms WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.30 does not perform a capability check when its test-email handler resolves and returns a user's email address, relying only on a nonce that is available to any logged-in user, allowing authenticated users with minimal privileges (Subscriber and above) to disclose the email address of any registered user, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS