CVE-2026-13147
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci organizacji, uzyskania dostępu do wrażliwych usług lub przeprowadzenia ataków na inne systemy, co może prowadzić do wycieku danych lub naruszenia bezpieczeństwa infrastruktury.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Kirki do wersji 6.0.12 lub nowszej, która zawiera poprawkę walidującą adresy URL przed wykonaniem żądań serwerowych.
Oryginalny opis (angielski, źródło NVD)
The Kirki WordPress plugin before 6.0.12 does not validate a user-supplied URL before requesting it server-side, allowing unauthenticated attackers to make the site issue HTTP requests to arbitrary hosts (Server-Side Request Forgery).