CVE-2026-15601 in Kirki Plugin
Сводка
по VulDB • 03.08.2026
В плагине Kirki – Freeform Page Builder, Website Builder & Customizer для WordPress уязвимость Path Traversal (Zip Slip) присутствует во всех версиях вплоть до 6.0.13 включительно и затрагивает функцию extract_zip_file. Это позволяет атакующим с уровнем доступа «custom» и выше записывать произвольные файлы на сервер, что может привести к удаленному выполнению кода (RCE). Пути выполнения install_app, update_app и get_kirki_template_from_zip принимают предоставленное пользователем значение app src для формирования URL-адреса загрузки; при этом не применяется санитизация для предотвращения получения и распаковки специально созданного ZIP-архива с именами записей, содержащими последовательности обхода каталогов (path-traversing), которые позволяют выйти за пределы целевого каталога.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.