CVE-2026-104734
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych wejściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie obiektu PHP; domyślnie użytkownicy na poziomie Editor mają pełny dostęp do endpointu importu wtyczki.
Ocena ryzyka
W przypadku obecności łańcucha POP w innej wtyczce lub motywie atakujący może usunąć dowolne pliki, uzyskać dostęp do poufnych danych lub wykonać kod; podatność jest wykorzystywana już na poziomie uprawnień Editor.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji nowszej niż 6.3.2, a do czasu aktualizacji rozważ ograniczenie uprawnień Editor i przegląd zainstalowanych wtyczek oraz motywów pod kątem łańcuchów POP.
Inne podatności w Kirki
Zobacz wszystkie- CVE-2026-13147Krytyczne
Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).
- CVE-2026-57726Krytyczne
Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.
- CVE-2026-57724Krytyczne
Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.
- CVE-2026-112348Średnie
Wtyczka Kirki dla WordPressa w wersjach przed 6.2.5 zawiera podatność pozwalającą ominąć reCAPTCHA. Nieuwierzytelniony atakujący może przesyłać formularze frontendowe bez ważnej weryfikacji, pomijając pole g-recaptcha-token w żądaniach POST, ponieważ metoda verify() zwraca wcześnie dla pustych wartości tokenu.
- CVE-2026-42694Średnie
Wtyczka WordPress Kirki w wersjach do 6.4.0 zawiera podatność związaną z niewłaściwą neutralizacją tagów HTML powiązanych ze skryptami (podstawowy XSS), co umożliwia wstrzyknięcie kodu. Problem dotyczy wersji od początku istnienia do 6.4.0 włącznie.
- CVE-2026-107762Wysokie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'context' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym ujawnienie danych profilowych dowolnych użytkowników, w tym adresu e-mail, nazwy wyświetlanej, daty rejestracji, adresu URL zdjęcia profilowego oraz pól meta użytkownika.
- CVE-2026-14572Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez treść tekstową Page Builder we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-102291Średnie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 6.3.1 włącznie. Wynika to z podstawienia nazwy wyświetlanej użytkownika (display_name) do komponowanego znacznika strony bez filtrowania i przetworzenia całości przez do_shortcode().
- CVE-2026-103065Wysokie
Podatność w Kirki do wersji 6.3.1 polegająca na nieprawidłowej walidacji określonej ilości w danych wejściowych. Umożliwia dostęp do funkcji nieodpowiednio ograniczonych przez ACL.
- CVE-2026-84225Niskie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 6.3.2 via deserialization of untrusted input . This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present. By default, Editor-level users are granted FULL_ACCESS to the plugin's import endpoint via the KIRKI_USERS_DEFAULT_FULL_ACCESS configuration, meaning exploitation is possible at Editor privilege level rather than being restricted to administrators alone.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS