O vulnerabilitate severă în Kirki a fost exploatată pentru a deturna conturile de admin WordPress

Persoanele rău intenționate exploatează o vulnerabilitate critică de escaladare a privilegiilor (CVE-2026-8206) din pluginul Kirki pentru WordPress pentru a prelua controlul asupra oricărui cont de utilizator, inclusiv asupra celor aparținând administratorilor.

Numele complet al pluginului este Kirki – Freeform Page Builder, Website Builder & Customizer. Este un editor vizual de tip freeform și un personalizator avansat de teme, activ pe peste 500.000 de site-uri web.

Wordfence informează că vulnerabilitatea a apărut într-o versiune majoră recentă, versiunea 6.0.0, și afectează versiunile pluginului până la 6.0.6, care sunt utilizate de aproape 40% din utilizatorii pluginului, conform statisticilor de descărcare de pe WordPress.org.

CVE-2026-8206 este cauzat de expunerea unui endpoint REST API personalizat pentru resetarea parolelor prin intermediul funcției handle_forgot_password().

Vulnerabilitatea provine din faptul că pluginul acceptă o adresă de e-mail arbitrară în cadrul cererilor de resetare a parolei.

Atunci când se introduce un nume de utilizator, pluginul generează un link valid de resetare a parolei pentru contul asociat, dar îl trimite la adresa de e-mail furnizată de atacator, în loc să o trimită la adresa de e-mail înregistrată a proprietarului contului.

Acest comportament le permite atacatorilor neautentificați să genereze cu ușurință linkuri de resetare a parolei pentru orice utilizator înregistrat pe site către adrese de e-mail aflate sub controlul lor, preluând astfel controlul asupra acestora.

Odată ce un atacator obține acces la nivel de administrator, acesta ar putea instala pluginuri rău intenționate, modifica conținutul site-ului web, implementa web shell-uri sau backdoor-uri persistente și accesa baze de date private.

Având în vedere starea de exploatare activă a CVE-2026-8206 și cerințele foarte reduse pentru lansarea atacurilor, este esențial ca proprietarii/administratorii site-urilor web să actualizeze la versiunea 6.0.7 sau să dezactiveze pluginul.

Sursă: https://www.bleepingcomputer.com/news/security/critical-kirki-flaw-exploited-to-hijack-wordpress-admin-accounts/