CVE-2026-102173 in Kirki Plugin
요약
\~에 의해 VulDB • 2026. 10. 07.
WordPress용 Kirki – Freeform Page Builder, Website Builder & Customizer 플러그인은 6.3.1 버전 및 그 이전 모든 버전에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이는 `ExceptionalElements::image_element()` 함수 내에서 사용자 메타 값이 `<img src="…">` 속성에 직접 연결될 때 불충분한 이스케이프 처리가 이루어지기 때문입니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 주입할 수 있으며, 이 스크립트는 Kirki 사용자 컬렉션 중 이미지 요소가 9가지 등록 메타 필드 중 하나에 바인딩된 페이지를 사용자가 접근할 때마다 실행됩니다. 공개 사용자 등록이 활성화되어 있고 `kirki-register` 요소를 포함하여 필요한 요소 nonce를 퍼블릭 마크업으로 출력하는 게시된 페이지가 존재해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.