CVE-2026-84219

Wtyczka Kirki dla WordPressa w wersjach do 6.2.5 włącznie jest podatna na eskalację uprawnień poprzez wstrzyknięcie obiektu PHP. Luka wynika z braku sprawdzenia uprawnień w gałęzi 'get-single-symbol' dyspozytora AJAX kirki_post_apis() i deserializacji niezaufanych danych, co pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyżej wstrzyknąć obiekt PHP. Dzięki łańcuchowi POP możliwe jest nadpisanie hasła administratora i przejęcie kontroli administracyjnej.

Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie weryfikuje hosta adresu URL przed jego pobraniem. Umożliwia to użytkownikom z uprawnieniami edytora i wyższymi wysyłanie żądań do wewnętrznych usług, które normalnie nie są osiągalne, oraz ustalanie na podstawie odpowiedzi, które z nich działają.

Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie zapobiega wykonywaniu shortcode'ów zawartych w komentarzach podczas ich renderowania oraz wyświetla komentarze niezależnie od ich statusu moderacji. Umożliwia to nieuwierzytelnionym odwiedzającym uruchamianie zarejestrowanych shortcode'ów i odczyt prywatnych pól niestandardowych przeglądanej strony.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa jest podatna na ślepą Server-Side Request Forgery we wszystkich wersjach do 6.2.0 włącznie poprzez parametr 'kirki_data'. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji. Może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.

Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.

Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.