6.8 Moyenne

CVE-2026-106649 Kali Forms < 2.4.29 - Author+ Stored XSS via Button Click Action

Description

The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.29 does not prevent users with author-level access and above from storing arbitrary JavaScript in a form button configuration, which is later output into a JavaScript execution context and runs in the browser session of any user who clicks the button, including an administrator.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, avec un compte administrateur et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Élevés
Interaction: Requise
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Kali Forms — Contact Form & Drag-and-Drop Builder 2.4	premières → < 2.4.29	2.4.29

Références

wpscan.com wpscan.com

Chronologie

Publiée 4 novembre 2026
Dernière modification 4 novembre 2026

Les 6 CVE de Kali Forms — Contact Form & Drag-and-Drop Builder →

CVE-2026-107343 The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.30 does not perform a capability check… 4.3 Moyenne CVE-2026-107342 The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.30 does not perform a capability check… 4.3 Moyenne CVE-2026-11580 The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.17 does not perform a per-object… 5.5 Moyenne CVE-2026-11579 The Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin before 2.4.17 does not verify that a file… 5.3 Moyenne

Suivre cette CVE