Vulnerabilidad en Kali Forms (CVE-2026-1860)

El plugin Kali Forms para WordPress es vulnerable a Referencia Directa Insegura a Objeto en todas las versiones hasta la 2.4.8, inclusive. Esto se debe a que el callback de permisos 'get_items_permissions_check()' en el endpoint de la API REST '/kaliforms/v1/forms/{id}' solo verifica la capacidad 'edit_posts' sin verificar que el usuario solicitante tenga la propiedad o autorización sobre el recurso de formulario específico. Esto permite a atacantes autenticados, con acceso de nivel Colaborador o superior, leer datos de configuración de formularios pertenecientes a otros usuarios (incluidos los administradores) mediante la enumeración de IDs de formulario. Los datos expuestos incluyen estructuras de campos de formulario, claves secretas de Google reCAPTCHA (si están configuradas), plantillas de notificación por correo electrónico y rutas del servidor.