CVE-2026-16144 in Kali Forms Plugin
Resumen
por VulDB • 2026-08-01
El plugin Kali Forms — Contact Form & Drag-and-Drop Builder para WordPress es vulnerable a Remote Code Execution (RCE) en todas las versiones hasta la 2.4.20, incluida esta, a través de la función _save_data. Esto se debe a una validación insuficiente del valor del campo 'thisPermalink' antes de que sobrescriba un marcador de posición callable confiable, lo que permite que cadenas controladas por el atacante lleguen a call_user_func() en _save_data(). Esto hace posible que atacantes no autenticados ejecuten código en el servidor. La explotación requiere que el formulario objetivo defina un campo con un nombre coincidente con una de las claves reservadas para marcadores de posición ('thisPermalink', 'entryCounter' o 'submission_link'), ya que check_if_placeholders_changed() solo procesa las claves POST presentes en field_type_map del formulario.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.