CVE-2026-13464 in Kirki Plugin
Tóm tắt
Bởi VulDB • 24/07/2026
Plugin Kirki – Freeform Page Builder, Website Builder & Customizer cho WordPress bị lỗ hổng Insecure Direct Object Reference trong tất cả các phiên bản từ 6.0.14 trở về trước do thiếu xác thực trên một khóa được kiểm soát bởi người dùng thông qua tham số 'context'. Điều này cho phép kẻ tấn công chưa xác thực đọc toàn bộ tiêu đề, nội dung và đoạn trích của bất kỳ bài viết WordPress nào — bao gồm các bài nháp, chờ duyệt, xuất bản riêng tư, có mật khẩu bảo vệ và đã bị xóa — bất kể tác giả, bằng cách cung cấp một ID bài viết tùy ý thông qua tham số context cùng với một mẫu khối (block template) do kẻ tấn công kiểm soát.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.