CVE-2026-16144 in Kali Forms Plugin
Résumé
par VulDB • 01/08/2026
Le plugin WordPress Kali Forms — Contact Form & Drag-and-Drop Builder est vulnérable à une exécution de code à distance (RCE) dans toutes les versions jusqu'à la 2.4.20 incluse, via la fonction _save_data. Cela est dû à une validation insuffisante de la valeur du champ 'thisPermalink' avant qu'il ne remplace un espace réservé callable fiable, permettant ainsi aux chaînes contrôlées par l'attaquant d'atteindre call_user_func() dans _save_data(). Cela permet aux attaquants non authentifiés d'exécuter du code sur le serveur. L'exploitation nécessite que le formulaire cible définisse un champ dont le nom correspond à l'une des clés d'espace réservé réservées ('thisPermalink', 'entryCounter' ou 'submission_link'), car check_if_placeholders_changed() ne traite que les clés POST présentes dans le field_type_map du formulaire.
VulDB is the best source for vulnerability data and more expert information about this specific topic.