CVE-2026-107343
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień w handlerze testowej wiadomości e-mail, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to użytkownikowi o niskich uprawnieniach, np. subskrybentowi, wysłanie z witryny wiadomości e-mail do dowolnego odbiorcy z podrobionym adresem nadawcy.
Ocena ryzyka
Niskouprzywilejowany użytkownik może wykorzystać witrynę do wysyłania wiadomości e-mail z podrobionym nadawcą, co może służyć do phishingu i szkodzić reputacji domeny. Może to również prowadzić do nadużyć w zakresie dostarczalności poczty organizacji.
Rekomendacja
Zaktualizuj wtyczkę Kali Forms do wersji 2.4.30 lub nowszej. Rozważ ograniczenie dostępu do funkcji testowej wiadomości e-mail do administratorów.
Inne podatności w Kali Forms WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.30 does not perform a capability check on its test-email handler, relying only on a nonce that is available to any logged-in user, so a low-privileged user such as a Subscriber can make the site send email to an arbitrary recipient with a spoofed sender address.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS