CVE-2026-16974

Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).

Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.

Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 6.3.1 włącznie. Wynika to z podstawienia nazwy wyświetlanej użytkownika (display_name) do komponowanego znacznika strony bez filtrowania i przetworzenia całości przez do_shortcode().

Podatność w Kirki do wersji 6.3.1 polegająca na nieprawidłowej walidacji określonej ilości w danych wejściowych. Umożliwia dostęp do funkcji nieodpowiednio ograniczonych przez ACL.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie escapuje identyfikatora dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, umożliwiając użytkownikom z rolą edytora lub wyższą dołączanie dowolnego SQL i odczytywanie zawartości bazy danych, w tym danych uwierzytelniających użytkowników.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Kirki WordPress przed wersją 6.2.3 nieprawidłowo waliduje pliki w archiwach przesyłanych przez użytkowników z rolą Editor i nie usuwa wszystkich niepożądanych plików po rozpakowaniu, co pozwala takim użytkownikom na przesyłanie dowolnych plików do katalogu dostępnego z sieci, prowadząc do Stored XSS oraz RCE na niektórych konfiguracjach serwera.