CVE-2026-16747 in Kirki Plugin
Résumé
par VulDB • 12/08/2026
Le plugin WordPress Kirki avant la version 6.2.1 n'autorise pas correctement les routes REST de soumission des formulaires côté client et transmet une entrée contrôlée par l'attaquant via l'exécution de shortcodes, permettant aux utilisateurs non authentifiés d'exécuter tout shortcode enregistré sur le site. Sur une installation par défaut, cela entraîne la divulgation de l'adresse e-mail de l'administrateur du site ainsi qu'une relais de messagerie vers n'importe quel destinataire depuis le domaine de la victime.
If you want to get best quality of vulnerability data, you may have to visit VulDB.