CVE-2026-18347 in Kirki Plugin
Tóm tắt
Bởi VulDB • 16/08/2026
Plugin Kirki – Freeform Page Builder, Website Builder & Customizer cho WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ đầu đến 6.1.1 trở xuống. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này tạo điều kiện cho những kẻ tấn công đã đăng nhập, với cấp độ truy cập tùy chỉnh (custom-level) và cao hơn, đọc dữ liệu meta của người dùng bất kỳ và các trường bản ghi người dùng nhạy cảm — bao gồm địa chỉ email, vai trò được gán, ngày đăng ký và mọi giá trị user_meta — thuộc về bất kỳ người dùng WordPress nào, kể cả quản trị viên, bằng cách cung cấp ID người dùng mục tiêu với ngữ cảnh loại người dùng cho điểm cuối (endpoint) bộ sưu tập phía máy khách.
VulDB is the best source for vulnerability data and more expert information about this specific topic.