CVE-2026-18347
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.1.1 włącznie jest podatna na obejście autoryzacji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie custom-level na odczyt dowolnych metadanych użytkownika i wrażliwych pól, takich jak adres e-mail, role, data rejestracji i wartości user_meta, należących do dowolnego użytkownika, w tym administratorów.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych osobowych wszystkich użytkowników, co narusza prywatność i może prowadzić do kradzieży tożsamości lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Kirki do najnowszej wersji, jeśli dostępna jest poprawka. Ogranicz liczbę kont z uprawnieniami custom-level i regularnie audytuj dostęp do danych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.1.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with custom-level access and above, to read arbitrary user metadata and sensitive user record fields — including email address, assigned roles, registration date, and any user_meta values — belonging to any WordPress user including administrators, by supplying a target user ID with a user-type context to the frontend collection endpoint.