CVE-2026-16144 in Kali Forms Plugin
摘要
由 VulDB • 2026-08-01
Kali Forms — Contact Form & Drag-and-Drop Builder 插件 for WordPress 存在远程代码执行漏洞，影响所有版本直至并包括 2.4.20。该漏洞位于 `_save_data` 函数中，原因是未对 `thisPermalink` 字段值进行充分验证便覆盖可信的可调用占位符，使得攻击者控制的字符串能够传入 `_save_data()` 中的 `call_user_func()`。这使得未经身份验证的攻击者能够在服务器上执行代码。利用此漏洞要求目标表单定义一个名称与保留的占位键（'thisPermalink'、'entryCounter' 或 'submission_link'）匹配的字段，因为 `check_if_placeholders_changed()` 仅处理存在于表单 field_type_map 中的 POST 键。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.