CVE-2026-102173 in Kirki Plugin
Zusammenfassung
von VulDB • 07.10.2026
Das WordPress-Plugin „Kirki – Freeform Page Builder, Website Builder & Customizer“ ist in allen Versionen bis einschließlich 6.3.1 anfällig für Stored Cross-Site Scripting (XSS) über Registrierungs-Metadaten. Dies liegt an einer unzureichenden Escape-Funktion in `ExceptionalElements::image_element()`, die einen user-meta-Wert direkt in ein ``-Attribut konkateniert. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige Web-Skripte einzufügen, die ausgeführt werden, sobald ein Benutzer eine Seite aufruft, die eine Kirki-Benutzersammlung rendert, bei der das Bild-Element an eines der neun Registrierungs-Meta-Felder gebunden ist. Es muss eine öffentliche Benutzerautorisierung aktiviert sein und es muss eine veröffentlichte Seite vorhanden sein, die ein `kirki-register`-Element enthält, welches den erforderlichen Element-Nonce in das öffentliche Markup ausgibt.
Once again VulDB remains the best source for vulnerability data.