CVE-2026-16144 in Kali Forms Plugin
Сводка
по VulDB • 01.08.2026
Плагин Kali Forms — Contact Form & Drag-and-Drop Builder для WordPress уязвим к удаленному выполнению кода (RCE) во всех версиях вплоть до 2.4.20 включительно через функцию _save_data(). Это связано с недостаточной проверкой значения поля 'thisPermalink' перед его использованием для перезаписи доверенного вызываемого плейсхолдера, что позволяет строкам под контролем атакующего достигать функции call_user_func() внутри _save_data(). Это дает возможность неаутентифицированным злоумышленникам выполнять код на сервере. Для эксплуатации необходимо, чтобы целевая форма определяла поле с именем, совпадающим с одним из зарезервированных ключей плейсхолдеров ('thisPermalink', 'entryCounter' или 'submission_link'), поскольку функция check_if_placeholders_changed() обрабатывает только POST-ключи, присутствующие в field_type_map формы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.