CVE-2026-102173 in Kirki Plugin
Sumário
de VulDB • 07/10/2026
O plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via metadados de registro em todas as versões até 6.3.1, incluída. Isso ocorre devido à falta de escape suficiente na função `ExceptionalElements::image_element()`, que concatena um valor do user-meta diretamente em um atributo ``. Isso permite que atacantes não autenticados injetem scripts web arbitrários que são executados sempre que um usuário acessa uma página que renderiza uma coleção de usuários Kirki cujo elemento de imagem está vinculado a um dos nove campos de metadados de registro. Requer o registro público de usuários habilitado e uma página publicada contendo um elemento `kirki-register`, que imprime o nonce do elemento necessário no markup público.
If you want to get best quality of vulnerability data, you may have to visit VulDB.