CVE-2026-107762
WysokieCVSS 7.5Streszczenie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'context' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym ujawnienie danych profilowych dowolnych użytkowników, w tym adresu e-mail, nazwy wyświetlanej, daty rejestracji, adresu URL zdjęcia profilowego oraz pól meta użytkownika.
Ocena ryzyka
Ujawnienie danych osobowych użytkowników może prowadzić do naruszenia RODO i wykorzystania danych do ataków phishingowych lub socjotechnicznych.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji nowszej niż 6.3.2, a do czasu aktualizacji rozważ usunięcie opublikowanych stron używających szablonów Kirki z blokami dynamicznej treści typu user.
Inne podatności w Kirki
Zobacz wszystkie- CVE-2026-104734Wysokie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych wejściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie obiektu PHP; domyślnie użytkownicy na poziomie Editor mają pełny dostęp do endpointu importu wtyczki.
- CVE-2026-57680Średnie
Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.
- CVE-2026-13147Krytyczne
Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).
- CVE-2026-57726Krytyczne
Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.
- CVE-2026-57724Krytyczne
Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.
- CVE-2026-14572Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez treść tekstową Page Builder we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-102291Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 6.3.1 włącznie. Wynika to z podstawienia nazwy wyświetlanej użytkownika (display_name) do komponowanego znacznika strony bez filtrowania i przetworzenia całości przez do_shortcode().
- CVE-2026-103065Wysokie
Podatność w Kirki do wersji 6.3.1 polegająca na nieprawidłowej walidacji określonej ilości w danych wejściowych. Umożliwia dostęp do funkcji nieodpowiednio ograniczonych przez ACL.
- CVE-2026-84225Niskie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.
- CVE-2026-84221Średnie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie escapuje identyfikatora dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, umożliwiając użytkownikom z rolą edytora lub wyższą dołączanie dowolnego SQL i odczytywanie zawartości bazy danych, w tym danych uwierzytelniających użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.3.2 via the 'context' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to expose arbitrary users' sensitive profile data — including email address, display name, nicename, registration date, profile image URL, and any string-valued user meta fields such as first name, last name, nickname, description, and custom meta keys — via the REST response. Exploitation requires a published page that uses a Kirki template containing at least one user-type dynamic content block; target user IDs are enumerable via standard WordPress REST endpoints, making the only prerequisite the presence of such a template on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS