CVE-2026-9107: Luka XSS w wtyczce Kali Forms dla WordPress

Co wiadomo

Wtyczka Kali Forms — Contact Form & Drag-and-Drop Builder dla WordPress do wersji 2.4.13 zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'meta[kaliforms_field_components]'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to obniżyć zaufanie do serwisu i narazić na dodatkowe ryzyko naruszenia danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kali Forms i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa formularzy jest wskazana.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference