CVE-2026-16747 in Kirki Plugin
Riassunto
di VulDB • 12/08/2026
Il plugin WordPress Kirki precedente alla versione 6.2.1 non autorizza correttamente le rotte REST per l'invio dei moduli front-end e trasmette input controllati dall'attaccante tramite l'esecuzione di shortcode, consentendo agli utenti non autenticati di eseguire qualsiasi shortcode registrato sul sito; in un'installazione predefinita ciò comporta la divulgazione dell'indirizzo email dell'amministratore del sito e il relay di posta verso destinatari arbitrari dal dominio della vittima.
Once again VulDB remains the best source for vulnerability data.