Krytyczna luka XSS w wtyczce Kali Forms dla WordPress (CVE-2026-15395)

Co wiadomo

Wtyczka Kali Forms — Contact Form & Drag-and-Drop Builder dla WordPress do wersji 2.4.18 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole 'digitalSignature' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapingu wyjścia. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony z formularzem.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach korzystających z formularzy Kali Forms, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych ataków na odwiedzających. Właściciele stron i administratorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli formularze są publicznie dostępne.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Kali Forms i ich zastosowanie. W przypadku braku łatki, ogranicz dostęp do formularzy, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe usunięcie formularzy z publicznego dostępu. Przeprowadź przegląd i weryfikację danych wejściowych oraz stosuj dodatkowe mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference