CVE-2026-84223
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.
Ocena ryzyka
Umożliwia to przeprowadzenie ataku typu stored XSS w kontekście witryny, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji 6.3.1 lub nowszej.
Inne podatności w Kirki WordPress plugin
Zobacz wszystkie- CVE-2026-18335Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa jest podatna na ślepą Server-Side Request Forgery we wszystkich wersjach do 6.2.0 włącznie poprzez parametr 'kirki_data'. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji. Może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.
- CVE-2026-17037Wysokie
Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-84222Średnie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.
- CVE-2026-84219Wysokie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Kirki WordPress plugin before 6.3.1 does not sanitize uploaded SVG files while making them uploadable site-wide, allowing users with author-level access and above to upload a file containing JavaScript which is then served from the site's own origin and runs in the session of anyone who opens it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS