CVE-2026-102173

WysokieCVSS 7.2

Opublikowano: 07/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.3.1 włącznie jest podatna na Stored Cross-Site Scripting przez metadane rejestracji. Wynika to z niedostatecznego escapowania w funkcji `ExceptionalElements::image_element()`, która łączy wartość user-meta bezpośrednio z atrybutem `<img src="…">`. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy użytkownik odwiedza stronę renderującą kolekcję użytkowników Kirki z elementem obrazu powiązanym z jednym z dziewięciu pól meta rejestracji. Wymaga włączenia publicznej rejestracji użytkowników i opublikowania strony z elementem `kirki-register`.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonują się w przeglądarce administratora lub innych użytkowników, co może prowadzić do kradzieży sesji, defacementu lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Kirki do wersji nowszej niż 6.3.1, jeśli dostępna, oraz rozważ wyłączenie publicznej rejestracji, jeśli nie jest konieczna.

Inne podatności w Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-8206Krytyczne
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach od 6.0.0 do 6.0.6 jest podatna na eskalację uprawnień poprzez przejęcie konta. Wtyczka akceptuje dowolny adres e-mail podczas resetowania hasła, co pozwala nieuwierzytelnionym atakującym wysłać link resetujący hasło do własnego adresu e-mail.

Oryginalny opis (angielski, źródło NVD)

The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via registration metadata in all versions up to, and including, 6.3.1 This is due to insufficient escaping in `ExceptionalElements::image_element()`, which concatenates a user-meta value straight into an `<img src="…">` attribute. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute whenever a user accesses a page rendering a Kirki users collection whose image element is bound to one of the nine registration meta fields. Requires public user registration to be enabled and a published page carrying a `kirki-register` element, which prints the required element nonce into the public markup.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS