CVE-2026-11580
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie sprawdza uprawnień do obiektu w akcji AJAX duplikowania postów, co pozwala użytkownikom z rolą Współautora lub wyższą na duplikowanie dowolnych postów (niezależnie od właściciela, typu czy statusu) do opublikowanego posta, który posiadają, oraz odczytanie prywatnych metadanych posta, w tym sekretów przechowywanych przez tę wtyczkę.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych przechowywanych w metadanych postów, takich jak klucze API czy tokeny, oraz na nieautoryzowane duplikowanie treści, co może prowadzić do naruszenia integralności danych i eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Kali Forms do wersji 2.4.17 lub nowszej, która zawiera poprawkę usuwającą brak kontroli dostępu.
Inne podatności w Kali Forms
Zobacz wszystkie- CVE-2026-59542Wysokie
Wtyczka Kali Forms w wersji 2.4.18 i starszych umożliwia użytkownikowi z rolą Subscriber (subskrybent) usuwanie dowolnych plików na serwerze. Podatność nie wymaga specjalnych uprawnień poza standardowym kontem subskrybenta.
- CVE-2026-81276Średnie
Formularze Kali Forms w wersji 2.4.23 i wcześniejszych mają podatność polegającą na złamanej kontroli dostępu bez uwierzytelnienia. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do funkcji, które powinny być chronione.
- CVE-2026-16144Wysokie
Wtyczka Kali Forms dla WordPressa jest podatna na zdalne wykonanie kodu przez funkcję `_save_data()`. Niewystarczająca walidacja pola `thisPermalink` pozwala nieuwierzytelnionym atakującym na przekazanie kontrolowanego ciągu do `call_user_func()`, co umożliwia wykonanie kodu na serwerze.
- CVE-2026-65446Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce Kali Forms dla WordPressa w wersjach do 2.4.18. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
- CVE-2026-15395Wysokie
Wtyczka Kali Forms dla WordPressa (wersje do 2.4.18) zawiera podatność na trwałe ataki XSS przez pole 'digitalSignature'. Brak odpowiedniej sanitacji wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.
- CVE-2026-11579Średnie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie weryfikuje, czy przesłany plik jest powiązany z istniejącym formularzem zawierającym pole do przesyłania plików. Umożliwia to niezalogowanym użytkownikom przesyłanie plików do biblioteki multimediów WordPressa, jednak ograniczone do domyślnie dozwolonych typów MIME, co uniemożliwia wykonanie kodu.
- CVE-2026-9107Średnie
Wtyczka Kali Forms dla WordPressa do wersji 2.4.13 zawiera podatność na trwałe ataki XSS przez parametr 'meta[kaliforms_field_components]'. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się podczas przeglądania zainfekowanej strony.
- CVE-2026-11581Średnie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.13 nie oczyszcza opisu pola formularza przed wyświetleniem go jako nagłówka kolumny na ekranie administratora. Użytkownicy z rolą Współautora lub wyższą mogą wstrzyknąć JavaScript, który wykona się w sesji administratora. Brak kontroli uprawnień w akcji duplikowania wpisów pozwala Współautorowi opublikować złośliwy formularz, który administrator wyświetli.
Oryginalny opis (angielski, źródło NVD)
The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.17 does not perform a per-object capability check in its post-duplication AJAX action, allowing users with Contributor-level access or above to duplicate any post (regardless of owner, post type, or status) into a published post they own and read its private post metadata, including secrets stored by other Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.17.