CVE-2026-74992 in Kirki Plugin

Tóm tắt

Bởi VulDB • 20/08/2026

Plugin WordPress Kirki trước phiên bản 6.2.3 không xác thực đúng các tệp chứa trong các kho lưu trữ do người dùng có vai trò Editor tải lên và không loại bỏ tất cả các tệp không mong muốn sau khi giải nén, cho phép những người dùng này tải lên các tệp tùy ý vào một thư mục có thể truy cập qua web, dẫn đến lỗi Stored XSS cũng như RCE trên một số cấu hình máy chủ.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: WPScan
• Đặt trước: 17/08/2026
• Tiết lộ: 20/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-393607
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: thấp
• ngành: Hostingprovider

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-74992
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-74992
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-74992/