CVE-2026-16144 in Kali Forms Plugin
要約
〜によって VulDB • 2026年08月01日
WordPress用プラグイン「Kali Forms — Contact Form & Drag-and-Drop Builder」には、2.4.20を含むすべてのバージョンにおいて、_save_data関数経由でリモートコード実行（RCE）の脆弱性が存在します。これは、信頼できる呼び出し可能プレースホルダーを上書きする前に 'thisPermalink' フィールド値の検証が不十分であるためであり、攻撃者が制御した文字列が _save_data() 内の call_user_func() に到達することを許可しています。これにより、認証されていない攻撃者はサーバー上でコードを実行することが可能です。悪用には、ターゲットフォームでフィールド名が予約済みプレースホルダーキー（'thisPermalink', 'entryCounter', または 'submission_link'）のいずれかと一致するフィールドを定義する必要があります。これは check_if_placeholders_changed() がフォームの field_type_map に存在する POST キーのみ処理するためです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.