目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-112347— Kirki 插件 6.4.1 对象级访问控制漏洞

一分钟漏洞结论

影响对象
Themeum Kirki
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

WordPress 的 Kirki 插件在 6.4.1 版本之前存在对象级访问控制失效漏洞。该漏洞位于其页面 REST API 中，具体表现为 路由以及 中的 、 和 处理程序仅依赖粗粒度的“角色 - 访问”中间件检查，而未执行针对单个对象的 WordPress 能力（capability）校验。默认情况下，拥有 Kirki 编辑权限的“编辑者（Editor）”角色用户可利用此漏洞，修改任意非已回收（non-trashed）状态的任何文章类型（包括自定义文章类型和 WooCommerce 产品）的标题、别名（slu

CVSS 7.6 · High
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-112347 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Kirki WordPress Plugin < 6.4.1 Broken Object-Level Access Control via Page API
来源: CVE Program / CVE List V5
Vulnerability Description
Kirki plugin for WordPress before 6.4.1 contains a broken object-level access control vulnerability in its page REST API, where the PUT /wp-json/kirki/v1/pages/{page_id} route and the save_page_data, duplicate, and delete handlers in PageController.php rely only on a coarse role-to-access middleware check without performing a per-object WordPress capability check. A user with Kirki edit access, granted to the Editor role by default, can exploit this flaw to modify the title, slug, and publication status of any non-trashed post of any post type, including custom post types and WooCommerce products they do not own, exposing private or draft content or removing published content by manipulating the unrestricted post_status field.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制缺失
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
Themeum Kirki 0 ~ 6.4.1 -

二、漏洞 CVE-2026-112347 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-112347 的情报信息

请登录查看更多情报信息。

CVE-2026-112347 其他参考 (2)

IV. Related Vulnerabilities

Same product: Kirki
Same vendor: Themeum
Same weakness: CWE-862