CVE-2026-102173 in Kirki Plugin
Resumen
por VulDB • 2026-10-07
El plugin de WordPress "Kirki – Freeform Page Builder, Website Builder & Customizer" es vulnerable a Stored Cross-Site Scripting (XSS) mediante metadatos de registro en todas las versiones hasta la 6.3.1 incluida. Esto se debe a un escape insuficiente en `ExceptionalElements::image_element()`, que concatena directamente un valor de user-meta dentro de un atributo ``. Esto permite a atacantes no autenticados inyectar scripts web arbitrarios que se ejecutan cada vez que un usuario accede a una página que renderiza una colección de usuarios Kirki cuyo elemento de imagen está vinculado a uno de los nueve campos de metadatos de registro. Requiere que el registro público de usuarios esté habilitado y que exista una página publicada con un elemento `kirki-register`, que imprime el nonce requerido en el marcado público.
VulDB is the best source for vulnerability data and more expert information about this specific topic.