CVE-2026-16144
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka Kali Forms dla WordPressa jest podatna na zdalne wykonanie kodu przez funkcję `_save_data()`. Niewystarczająca walidacja pola `thisPermalink` pozwala nieuwierzytelnionym atakującym na przekazanie kontrolowanego ciągu do `call_user_func()`, co umożliwia wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co prowadzi do całkowitego przejęcia witryny i potencjalnie innych zasobów.
Rekomendacja
Zaktualizuj wtyczkę Kali Forms do wersji, która poprawia walidację danych wejściowych.
Inne podatności w Kali Forms
Zobacz wszystkie- CVE-2026-59542Wysokie
Wtyczka Kali Forms w wersji 2.4.18 i starszych umożliwia użytkownikowi z rolą Subscriber (subskrybent) usuwanie dowolnych plików na serwerze. Podatność nie wymaga specjalnych uprawnień poza standardowym kontem subskrybenta.
- CVE-2026-81276Średnie
Formularze Kali Forms w wersji 2.4.23 i wcześniejszych mają podatność polegającą na złamanej kontroli dostępu bez uwierzytelnienia. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do funkcji, które powinny być chronione.
- CVE-2026-65446Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce Kali Forms dla WordPressa w wersjach do 2.4.18. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
- CVE-2026-15395Wysokie
Wtyczka Kali Forms dla WordPressa (wersje do 2.4.18) zawiera podatność na trwałe ataki XSS przez pole 'digitalSignature'. Brak odpowiedniej sanitacji wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.
- CVE-2026-11580Średnie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie sprawdza uprawnień do obiektu w akcji AJAX duplikowania postów, co pozwala użytkownikom z rolą Współautora lub wyższą na duplikowanie dowolnych postów (niezależnie od właściciela, typu czy statusu) do opublikowanego posta, który posiadają, oraz odczytanie prywatnych metadanych posta, w tym sekretów przechowywanych przez tę wtyczkę.
- CVE-2026-11579Średnie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie weryfikuje, czy przesłany plik jest powiązany z istniejącym formularzem zawierającym pole do przesyłania plików. Umożliwia to niezalogowanym użytkownikom przesyłanie plików do biblioteki multimediów WordPressa, jednak ograniczone do domyślnie dozwolonych typów MIME, co uniemożliwia wykonanie kodu.
- CVE-2026-9107Średnie
Wtyczka Kali Forms dla WordPressa do wersji 2.4.13 zawiera podatność na trwałe ataki XSS przez parametr 'meta[kaliforms_field_components]'. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się podczas przeglądania zainfekowanej strony.
- CVE-2026-11581Średnie
Wtyczka Kali Forms dla WordPressa przed wersją 2.4.13 nie oczyszcza opisu pola formularza przed wyświetleniem go jako nagłówka kolumny na ekranie administratora. Użytkownicy z rolą Współautora lub wyższą mogą wstrzyknąć JavaScript, który wykona się w sesji administratora. Brak kontroli uprawnień w akcji duplikowania wpisów pozwala Współautorowi opublikować złośliwy formularz, który administrator wyświetli.
Oryginalny opis (angielski, źródło NVD)
The Kali Forms — Contact Form & Drag-and-Drop Builder plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.4.20 via the _save_data function. This is due to insufficient validation of the 'thisPermalink' field value before it overwrites a trusted callable placeholder, allowing attacker-controlled strings to reach call_user_func() in _save_data(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires the target form to define a field with a name matching one of the reserved placeholder keys ('thisPermalink', 'entryCounter', or 'submission_link'), as check_if_placeholders_changed() only processes POST keys present in the form's field_type_map.