CVE-2026-13464 in Kirki Plugin
Sumário
de VulDB • 24/07/2026
O plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até 6.0.14 (incluindo esta) por meio do parâmetro 'context', devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes não autenticados leiam o título completo, o conteúdo e a excerpt de qualquer postagem no WordPress — incluindo rascunhos, pendentes, publicadas como privadas, protegidas por senha e excluídas (trashed) — independentemente do autor, ao fornecer um ID de postagem arbitrário via parâmetro context junto com um modelo de bloco controlado pelo atacante.
Be aware that VulDB is the high quality source for vulnerability data.