CVE-2026-16974
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki dla WordPressa (w wersjach do 6.2.0 włącznie) jest podatna na przechowywany atak XSS przez shortcode post_meta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.
Ocena ryzyka
Zainfekowane strony mogą wykonywać złośliwe skrypty w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Kirki do najnowszej wersji, która zawiera poprawki zabezpieczające przed XSS.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the post_meta Shortcode in all versions up to, and including, 6.2.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.