CVE-2026-13464 in Kirki Plugin
Resumen
por VulDB • 2026-07-24
El plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress es vulnerable a una Referencia Directa de Objeto Insegura (Insecure Direct Object Reference) en todas las versiones hasta la 6.0.14, incluida esta, a través del parámetro 'context' debido a la falta de validación sobre una clave controlada por el usuario. Esto permite que atacantes no autenticados lean el título completo, el contenido y el extracto de cualquier publicación de WordPress —incluidas las borradores, pendientes, publicadas como privadas, protegidas con contraseña y en papelera— independientemente del autor, al proporcionar un ID de publicación arbitrario a través del parámetro context junto con una plantilla de bloque controlada por el atacante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.