CVE-2026-8206
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach od 6.0.0 do 6.0.6 jest podatna na eskalację uprawnień poprzez przejęcie konta. Wtyczka akceptuje dowolny adres e-mail podczas resetowania hasła, co pozwala nieuwierzytelnionym atakującym wysłać link resetujący hasło do własnego adresu e-mail.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konto dowolnego użytkownika zarejestrowanego na stronie, co może prowadzić do eskalacji uprawnień i przejęcia kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji 6.0.7 lub nowszej, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions 6.0.0 to 6.0.6. This is due to the plugin accepting an arbitrary email address when a username is used in the password reset request. This makes it possible for unauthenticated attackers to send a password reset link for any user registered on the site to their own email address.