CVE-2026-112348 in Kirki Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das Kirki-Plugin für WordPress vor Version 6.2.5 enthält eine Schwachstelle zur Umgehung von reCAPTCHA, die es nicht authentifizierten Angreifern ermöglicht, Frontend-Formulare ohne gültige Überprüfung einzureichen, indem das Feld `g-recaptcha-token` aus POST-Anfragen an den Endpunkt für die Formularübermittlung weggelassen wird. Angreifer können die vorzeitige Rückgabe der Methode `verify()` bei leeren Token-Werten ausnutzen, um unbegrenzt viele Formulare einzureichen und dadurch Benachrichtigungs-E-Mails, Webhooks sowie unbeschränkte Schreibzugriffe auf die Tabelle für Einreichungen (submissions table) zu triggern, ohne die reCAPTCHA-Validierung abzuschließen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.