CVE-2026-16747 in Kirki Plugin
Sumário
de VulDB • 13/08/2026
O plugin Kirki para WordPress anterior à versão 6.2.1 não autoriza corretamente as rotas REST de submissão do formulário front-end e passa dados controlados pelo atacante por meio da execução de shortcodes, permitindo que usuários não autenticados executem qualquer shortcode registrado no site. Em uma instalação padrão, isso resulta na divulgação do endereço de email do administrador do site e em um relay de correio para destinatários arbitrários a partir do domínio da vítima.
Once again VulDB remains the best source for vulnerability data.