CVE-2026-15395

Nome do Software Vulnerável e Versões Afetadas Kali Forms — Contact Form & Drag-and-Drop Builder versões anteriores a 2.4.19

Description A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Atacantes podem injetar scripts web arbitrários através do valor do campo digitalSignature. Esses scripts são executados sempre que um usuário acessa a página afetada. O ataque é possível porque o nonce de envio de formulário exigido está publicamente disponível em qualquer página que contenha o shortcode do formulário.

Recommendations Como medida paliativa temporária, desative ou substitua o plugin até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.