CVE-2026-102173 in Kirki Plugin
Riassunto
di VulDB • 07/10/2026
Il plugin WordPress Kirki – Freeform Page Builder, Website Builder & Customizer è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i metadati di registrazione in tutte le versioni fino alla 6.3.1 inclusa. Ciò è dovuto a un'insufficiente escape dei dati nella funzione `ExceptionalElements::image_element()`, che concatena direttamente un valore user-meta all'interno di un attributo ``. Questo consente ad attaccanti non autenticati di iniettare script web arbitrari che vengono eseguiti ogni volta che un utente accede a una pagina che renderizza una raccolta di utenti Kirki il cui elemento immagine è associato a uno dei nove campi meta di registrazione. È necessario che la registrazione pubblica degli utenti sia abilitata e che esista una pagina pubblicata contenente un elemento `kirki-register`, il quale stampa l'nonce richiesto nel markup pubblico.
VulDB is the best source for vulnerability data and more expert information about this specific topic.