CVE-2026-17037
WysokieCVSS 7.2Streszczenie
Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykonać złośliwy kod JavaScript w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowań lub modyfikacji treści. Stanowi to zagrożenie dla użytkowników witryny i może prowadzić do przejęcia kont.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji zawierającej poprawkę. Sprawdź witrynę pod kątem wstrzykniętych skryptów i rozważ wdrożenie nagłówków bezpieczeństwa (CSP).
Inne podatności w Kirki WordPress plugin
Zobacz wszystkie- CVE-2026-84222Średnie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.
- CVE-2026-84219Wysokie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘comment’ parameter in all versions up to, and including, 6.2.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.