CVE-2026-102173 in Kirki Plugin
要約
〜によって VulDB • 2026年10月07日
WordPress用プラグイン「Kirki – Freeform Page Builder, Website Builder & Customizer」には、6.3.1以前の全バージョンにおいて、登録メタデータ経由で格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは `ExceptionalElements::image_element()` 関数におけるエスケープ処理の不備により、ユーザーメタ値が直接 `` 属性に連結されることに起因します。これにより、認証されていない攻撃者が任意のWebスクリプトを注入でき、Kirkiユーザコレクションの画像要素が9つの登録用メタフィールドのいずれかにバインドされているページへアクセスした際にそのスクリプトが実行されます。この脆弱性を悪用するには、公開ユーザー登録の有効化と、`kirki-register` 要素を含むパブリッシュ済みページの存在が必要であり、同要素は必要なnonce値をpublicなマークアップに出力します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.