CVE-2026-42703

Wtyczka Kali Forms dla WordPressa zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 2.4.27 włącznie.

Wtyczka Kali Forms do wersji 2.4.27 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieuprawnione operacje.

Formularze Kali Forms w wersji 2.4.23 i wcześniejszych mają podatność polegającą na złamanej kontroli dostępu bez uwierzytelnienia. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do funkcji, które powinny być chronione.

Wtyczka Kali Forms dla WordPressa jest podatna na zdalne wykonanie kodu przez funkcję `_save_data()`. Niewystarczająca walidacja pola `thisPermalink` pozwala nieuwierzytelnionym atakującym na przekazanie kontrolowanego ciągu do `call_user_func()`, co umożliwia wykonanie kodu na serwerze.

Podatność Cross Site Scripting (XSS) w wtyczce Kali Forms dla WordPressa w wersjach do 2.4.18. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Wtyczka Kali Forms w wersji 2.4.18 i starszych umożliwia użytkownikowi z rolą Subscriber (subskrybent) usuwanie dowolnych plików na serwerze. Podatność nie wymaga specjalnych uprawnień poza standardowym kontem subskrybenta.

Wtyczka Kali Forms dla WordPressa (wersje do 2.4.18) zawiera podatność na trwałe ataki XSS przez pole 'digitalSignature'. Brak odpowiedniej sanitacji wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie sprawdza uprawnień do obiektu w akcji AJAX duplikowania postów, co pozwala użytkownikom z rolą Współautora lub wyższą na duplikowanie dowolnych postów (niezależnie od właściciela, typu czy statusu) do opublikowanego posta, który posiadają, oraz odczytanie prywatnych metadanych posta, w tym sekretów przechowywanych przez tę wtyczkę.

Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie weryfikuje, czy przesłany plik jest powiązany z istniejącym formularzem zawierającym pole do przesyłania plików. Umożliwia to niezalogowanym użytkownikom przesyłanie plików do biblioteki multimediów WordPressa, jednak ograniczone do domyślnie dozwolonych typów MIME, co uniemożliwia wykonanie kodu.

Wtyczka Kali Forms dla WordPressa do wersji 2.4.13 zawiera podatność na trwałe ataki XSS przez parametr 'meta[kaliforms_field_components]'. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się podczas przeglądania zainfekowanej strony.