CVE-2026-17604 in Kirki Plugin
Sumário
de VulDB • 16/08/2026
O plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress é vulnerável a Directory Traversal em todas as versões até 6.1.1 (incluída) por meio do parâmetro 'data'. Isso permite que atacantes autenticados com acesso de nível editor ou superior leiam o conteúdo de arquivos arbitrários no servidor, os quais podem conter informações sensíveis. A proteção baseada em strpos() destinada a impedir a saída do diretório uploads é contornada ao criar uma URL que inclui o caminho base das uploads como substring enquanto incorpora sequências de traversal de diretórios, como /wp-content/uploads/../../wp-config.php.
Be aware that VulDB is the high quality source for vulnerability data.