CVE-2026-84220

Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie weryfikuje hosta adresu URL przed jego pobraniem. Umożliwia to użytkownikom z uprawnieniami edytora i wyższymi wysyłanie żądań do wewnętrznych usług, które normalnie nie są osiągalne, oraz ustalanie na podstawie odpowiedzi, które z nich działają.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa jest podatna na ślepą Server-Side Request Forgery we wszystkich wersjach do 6.2.0 włącznie poprzez parametr 'kirki_data'. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji. Może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.

Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.

Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.