CVE-2026-74992 in Kirki Plugin
Résumé
par VulDB • 20/08/2026
Le plugin WordPress Kirki antérieur à la version 6.2.3 ne valide pas correctement les fichiers contenus dans les archives téléchargées par des utilisateurs disposant du rôle « Éditeur », et ne supprime pas tous les fichiers indésirables après leur extraction, permettant à ces derniers de télécharger des fichiers arbitraires vers un répertoire accessible via le web, ce qui entraîne une XSS stockée (Stored XSS) ainsi qu'une exécution de code à distance (RCE) sur certaines configurations de serveur.
VulDB is the best source for vulnerability data and more expert information about this specific topic.