CVE-2026-8206

KrytyczneCVSS 9.8

Opublikowano: 02/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.26%

Percentyl 67 - wyżej niż 67% wszystkich znanych CVE

Streszczenie

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach od 6.0.0 do 6.0.6 jest podatna na eskalację uprawnień poprzez przejęcie konta. Wtyczka akceptuje dowolny adres e-mail podczas resetowania hasła, co pozwala nieuwierzytelnionym atakującym wysłać link resetujący hasło do własnego adresu e-mail.

Ocena ryzyka

Nieuwierzytelniony atakujący może przejąć konto dowolnego użytkownika zarejestrowanego na stronie, co może prowadzić do eskalacji uprawnień i przejęcia kontroli nad witryną.

Rekomendacja

Zaktualizuj wtyczkę Kirki do wersji 6.0.7 lub nowszej, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.

Inne podatności w Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-102173Wysokie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.3.1 włącznie jest podatna na Stored Cross-Site Scripting przez metadane rejestracji. Wynika to z niedostatecznego escapowania w funkcji `ExceptionalElements::image_element()`, która łączy wartość user-meta bezpośrednio z atrybutem `<img src="…">`. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy użytkownik odwiedza stronę renderującą kolekcję użytkowników Kirki z elementem obrazu powiązanym z jednym z dziewięciu pól meta rejestracji. Wymaga włączenia publicznej rejestracji użytkowników i opublikowania strony z elementem `kirki-register`.

Oryginalny opis (angielski, źródło NVD)

The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions 6.0.0 to 6.0.6. This is due to the plugin accepting an arbitrary email address when a username is used in the password reset request. This makes it possible for unauthenticated attackers to send a password reset link for any user registered on the site to their own email address.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS