CVE-2026-16747
ŚrednieCVSS 6.5Streszczenie
Wtyczka Kirki dla WordPressa przed wersją 6.2.1 nie autoryzuje poprawnie swoich tras REST do przesyłania formularzy z front-endu i przekazuje dane kontrolowane przez atakującego do wykonania shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie, co w domyślnej instalacji prowadzi do ujawnienia adresu e-mail administratora witryny i umożliwia wysyłkę poczty do dowolnego odbiorcy z domeny ofiary.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych informacji administratora oraz wykorzystanie serwera do rozsyłania spamu, co może zaszkodzić reputacji domeny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 6.2.1 lub nowszej oraz wdrożenie odpowiedniej autoryzacji tras REST.
Oryginalny opis (angielski, źródło NVD)
The Kirki WordPress plugin before 6.2.1 does not properly authorise its front-end form submission REST routes and passes attacker-controlled input through shortcode execution, allowing unauthenticated users to run any shortcode registered on the site, which on a default install leads to disclosure of the site administrator's email address and an arbitrary-recipient mail relay from the victim's domain.