Kirki WordPress插件未授权IDOR漏洞(CVE-2026-13464)详情

漏洞概述 漏洞名称: Kirki <= 6.0.14 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'context' Parameter CVE ID: CVE-2026-13464 CVSS评分: 5.3 (Medium) 发布日期: 2026年7月23日 最后更新日期: 2026年7月24日 研究人员: Abu Hurayra (HurayraIT) 影响范围 受影响版本: Kirki <= 6.0.14 漏洞类型: 不安全的直接对象引用（Insecure Direct Object Reference） 描述: Kirki插件在6.0.14及更早版本中存在漏洞，由于对用户控制键的验证缺失，导致未授权攻击者可以读取完整的标题、内容，以及任何WordPress帖子（包括草稿、待审、私密发布、密码保护、已删除帖子）的详细信息。攻击者可以通过提供任意帖子ID和上下文参数来利用此漏洞。 修复方案 修复版本: 6.1.0 建议: 升级到6.1.0或更高版本以修复此漏洞。 其他信息 参考链接: - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org 近期相关漏洞 Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via Family Parameter - CVE ID: CVE-2026-15457 - CVSS评分: 4.9 - 研究人员: Wordfence PRISM - 发布日期: 2026年7月16日 Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.1.2 - Unauthenticated PHP Object Injection - CVE ID: CVE-2026-57724 - CVSS评分: 8.1 - 研究人员: VanTastic - 发布日期: 2026年7月6日 Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.1.1 - Unauthenticated Stored Cross-Site Scripting - CVE ID: CVE-2026-57725 - CVSS评分: 7.2 - 研究人员: VanTastic - 发布日期: 2026年7月6日 Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.1.2 - Unauthenticated SQL Injection - CVE ID: CVE-2026-57726 - CVSS评分: 7.5 - 研究人员: daroo - 发布日期: 2026年7月6日 Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.1.3 - Missing Authorization - CVE ID: CVE-2026-57727 - CVSS评分: 5.3 - 研究人员: Piatrus Christopher Malou (ByteOverride) - 发布日期: 2026年7月6日 Kirki <= 6.1.1 - Missing Authorization to Unauthenticated Sensitive Information Exposure via kirki_post_api_nopriv AJAX Action - CVE ID: CVE-2026-12122 - CVSS评分: 5.3 - 研究人员: Jagadesh Achanta - 发布日期: 2026年7月1日 Kirki <= 6.1.1 - Missing Authorization to Unauthenticated Arbitrary Email Content Injection (Mail Relay / Phishing) via 'emailBody' and 'emailSubject' Parameters - CVE ID: CVE-2026-12472 - CVSS评分: 5.3 - 研究人员: Niv Kochan, Matan Bahar - 发布日期: 2026年7月1日 Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.1.1 - Authenticated (Subscriber+) Server-Side Request Forgery - CVE ID: CVE-2026-57627 - CVSS评分: 6.4 - 研究人员: Ananda Dhakal - 发布日期: 2026年6月26日 Kirki 6.0.0 - 6.0.6 - Unauthenticated Privilege Escalation via 'handle_forgot_password' - CVE ID: CVE-2026-8206 - CVSS评分: 9.8 - 研究人员: CHOIGYEONGMIN - 发布日期: 2026年6月1日 Kirki <= 6.0.6 - Unauthenticated Limited Arbitrary File Read and Deletion via downloadZIP - CVE ID: CVE-2026-8073 - CVSS评分: 7.5 - 研究人员: Rafie Muhammad - 发布日期: 2026年5月19日 总结 该页面详细描述了Kirki插件中存在的多个安全漏洞，其中最严重的是CVE-2026-13464，涉及不安全的直接对象引用，可能导致敏感信息泄露。建议用户尽快升级到6.1.0或更高版本以修复此漏洞。此外，页面还列出了其他相关漏洞及其详细信息，供用户参考。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Kirki WordPress插件未授权IDOR漏洞(CVE-2026-13464)详情

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Kirki WordPress插件未授权IDOR漏洞(CVE-2026-13464)详情

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！