CVE-2026-16747 in Kirki Plugin
要約
〜によって VulDB • 2026年08月12日
Kirki WordPress プラグインの 6.2.1 より前のバージョンでは、フロントエンドからのフォーム送信に対する REST ルートの認可処理が適切に行われておらず、攻撃者が制御する入力がショートコードの実行を通じて渡されるため、認証されていないユーザーがサイト上に登録されている任意のショートコードを実行できる。デフォルトインストール環境においては、これによりサイト管理者のメールアドレスの開示や、被害者ドメインからの任意の宛先へのメールリレーが可能となる。
Once again VulDB remains the best source for vulnerability data.