CVE-2026-84222
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do niepublicznych treści, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 6.3.0 lub nowszej, która naprawia ten problem.
Inne podatności w Kirki WordPress plugin
Zobacz wszystkie- CVE-2026-17037Wysokie
Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-84219Wysokie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Kirki WordPress plugin before 6.3.0 does not check whether the requester is allowed to read a post before rendering and returning its page content, allowing unauthenticated users to retrieve the content of pages that are not publicly available, such as private, draft, pending and trashed ones.