CVE-2026-75891
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki dla WordPressa w wersjach do 6.2.5 włącznie jest podatna na eskalację uprawnień poprzez wstrzyknięcie obiektu PHP. Luka wynika z braku sprawdzenia uprawnień w gałęzi 'get-single-symbol' dyspozytora AJAX kirki_post_apis() i deserializacji niezaufanych danych, co pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyżej wstrzyknąć obiekt PHP. Dzięki łańcuchowi POP możliwe jest nadpisanie hasła administratora i przejęcie kontroli administracyjnej.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może przejąć pełną kontrolę nad witryną WordPress, co prowadzi do całkowitego przejęcia serwisu i danych. Stanowi to poważne ryzyko dla poufności, integralności i dostępności.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji nowszej niż 6.2.5, gdy tylko będzie dostępna, a do tego czasu rozważ jej wyłączenie lub ograniczenie dostępu do funkcji AJAX. Sprawdź logi pod kątem podejrzanych żądań do kirki_post_apis().
Inne podatności w Kirki WordPress plugin
Zobacz wszystkie- CVE-2026-84224Średnie
Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie weryfikuje hosta adresu URL przed jego pobraniem. Umożliwia to użytkownikom z uprawnieniami edytora i wyższymi wysyłanie żądań do wewnętrznych usług, które normalnie nie są osiągalne, oraz ustalanie na podstawie odpowiedzi, które z nich działają.
- CVE-2026-84220Średnie
Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie zapobiega wykonywaniu shortcode'ów zawartych w komentarzach podczas ich renderowania oraz wyświetla komentarze niezależnie od ich statusu moderacji. Umożliwia to nieuwierzytelnionym odwiedzającym uruchamianie zarejestrowanych shortcode'ów i odczyt prywatnych pól niestandardowych przeglądanej strony.
- CVE-2026-18335Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa jest podatna na ślepą Server-Side Request Forgery we wszystkich wersjach do 6.2.0 włącznie poprzez parametr 'kirki_data'. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji. Może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.
- CVE-2026-84223Średnie
Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.
- CVE-2026-17037Wysokie
Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-84222Średnie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.
- CVE-2026-84219Wysokie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Kirki plugin for WordPress is vulnerable to Privilege Escalation via PHP Object Injection in all versions up to, and including, 6.2.5 via deserialization of untrusted input through the 'get-single-symbol' branch of the kirki_post_apis() AJAX dispatcher due to a missing capability check. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to overwrite an administrator's password and gain administrative access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS