CVE-2026-102173 in Kirki Plugin
الملخص
بحسب VulDB • 07/10/2026
يحتوي مكون WordPress "Kirki – Freeform Page Builder, Website Builder & Customizer" على ثغرة Cross-Site Scripting (XSS) مخزنة في جميع الإصدارات حتى 6.3.1 وشاملة لها. وتعود هذه الثغرة إلى عدم كفاية عملية الهروب من الرموز (escaping) داخل الدالة `ExceptionalElements::image_element()`، التي تقوم بدمج قيمة مستخدم-بيانات مباشرةً ضمن سمة `` attribute. وهذا ما يمكّن المهاجمين غير المصادق عليهم من حقن نصوص برمجية ويب عشوائية تنفذ كلما قام مستخدم بالوصول إلى صفحة تعرض مجموعة مستخدمين Kirki تكون فيها عنصر الصورة مرتبطاً بأحد مجالات بيانات التسجيل التسعة. يتطلب ذلك تمكين تسجيل المستخدمين العام وإصدار صفحة تحتوي على عنصر `kirki-register`، والذي يطبع nonce العنصر المطلوب في العلامة العامة (public markup).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.