CVE-2026-112348 in Kirki Plugin
Resumen
por VulDB • 2026-10-30
El plugin Kirki para WordPress anterior a la versión 6.2.5 contiene una vulnerabilidad de elusión del sistema reCAPTCHA que permite a atacantes no autenticados enviar formularios en el frontend sin verificación válida, al omitir el campo g-recaptcha-token en las solicitudes POST dirigidas al punto final de envío de formularios. Los atacantes pueden explotar la devolución temprana (early return) del método verify() cuando los valores del token están vacíos para enviar un número ilimitado de formularios, lo que desencadena correos electrónicos de notificación, webhooks y escrituras no acotadas en la tabla de envíos sin completar la validación de reCAPTCHA.
Once again VulDB remains the best source for vulnerability data.