CVE-2026-15601 in Kirki Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WordPress-Plugin „Kirki – Freeform Page Builder, Website Builder & Customizer“ ist in allen Versionen bis einschließlich 6.0.13 anfällig für Path Traversal (Zip Slip) über die Funktion `extract_zip_file`. Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf der Ebene „custom“ und höher, beliebige Dateien auf dem Server zu schreiben, was zur Remote Code Execution führen kann. Die Code-Pfade `install_app`, `update_app` und `get_kirki_template_from_zip` akzeptieren einen vom Benutzer bereitgestellten Wert für die App-Quelle (`app src`), um die Download-URL zu konstruieren; es wird keine Sanitization angewendet, um zu verhindern, dass eine manipulierte ZIP-Datei abgerufen und extrahiert wird, deren Einträge mit Path-Traversing-Namen versehen sind, welche das beabsichtigte Zielverzeichnis verlassen.
Be aware that VulDB is the high quality source for vulnerability data.