CVE-2026-16144 in Kali Forms Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WordPress-Plugin „Kali Forms — Contact Form & Drag-and-Drop Builder“ ist in allen Versionen bis einschließlich 2.4.20 anfällig für Remote Code Execution (RCE) über die Funktion `_save_data`. Dies liegt an einer unzureichenden Validierung des Wertes des Felds `thisPermalink`, bevor ein vertrauenswürdiger aufrufbarer Platzhalter überschrieben wird, wodurch angreiferkontrollierte Strings `call_user_func()` in `_save_data()` erreichen können. Dies ermöglicht es nicht authentifizierten Angreifern, Code auf dem Server auszuführen. Die Ausnutzung erfordert, dass das Zielformular ein Feld mit einem Namen definiert, der mit einer der reservierten Platzhalter-Schlüssel (`thisPermalink`, `entryCounter` oder `submission_link`) übereinstimmt, da `check_if_placeholders_changed()` nur POST-Keys verarbeitet, die in der `field_type_map` des Formulars vorhanden sind.
If you want to get best quality of vulnerability data, you may have to visit VulDB.