CVE-2026-65446

Wtyczka Kali Forms w wersji 2.4.18 i starszych umożliwia użytkownikowi z rolą Subscriber (subskrybent) usuwanie dowolnych plików na serwerze. Podatność nie wymaga specjalnych uprawnień poza standardowym kontem subskrybenta.

Formularze Kali Forms w wersji 2.4.23 i wcześniejszych mają podatność polegającą na złamanej kontroli dostępu bez uwierzytelnienia. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do funkcji, które powinny być chronione.

Wtyczka Kali Forms dla WordPressa jest podatna na zdalne wykonanie kodu przez funkcję `_save_data()`. Niewystarczająca walidacja pola `thisPermalink` pozwala nieuwierzytelnionym atakującym na przekazanie kontrolowanego ciągu do `call_user_func()`, co umożliwia wykonanie kodu na serwerze.

Wtyczka Kali Forms dla WordPressa (wersje do 2.4.18) zawiera podatność na trwałe ataki XSS przez pole 'digitalSignature'. Brak odpowiedniej sanitacji wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie sprawdza uprawnień do obiektu w akcji AJAX duplikowania postów, co pozwala użytkownikom z rolą Współautora lub wyższą na duplikowanie dowolnych postów (niezależnie od właściciela, typu czy statusu) do opublikowanego posta, który posiadają, oraz odczytanie prywatnych metadanych posta, w tym sekretów przechowywanych przez tę wtyczkę.

Wtyczka Kali Forms dla WordPressa przed wersją 2.4.17 nie weryfikuje, czy przesłany plik jest powiązany z istniejącym formularzem zawierającym pole do przesyłania plików. Umożliwia to niezalogowanym użytkownikom przesyłanie plików do biblioteki multimediów WordPressa, jednak ograniczone do domyślnie dozwolonych typów MIME, co uniemożliwia wykonanie kodu.

Wtyczka Kali Forms dla WordPressa do wersji 2.4.13 zawiera podatność na trwałe ataki XSS przez parametr 'meta[kaliforms_field_components]'. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się podczas przeglądania zainfekowanej strony.

Wtyczka Kali Forms dla WordPressa przed wersją 2.4.13 nie oczyszcza opisu pola formularza przed wyświetleniem go jako nagłówka kolumny na ekranie administratora. Użytkownicy z rolą Współautora lub wyższą mogą wstrzyknąć JavaScript, który wykona się w sesji administratora. Brak kontroli uprawnień w akcji duplikowania wpisów pozwala Współautorowi opublikować złośliwy formularz, który administrator wyświetli.