CVE-2026-112347

Mở trang đầy đủ

CVSS 7.6 HIGH Truy cập trái phép

Kirki WordPress Plugin < 6.4.1 Broken Object-Level Access Control via Page API

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Kirki plugin for WordPress before 6.4.1 contains a broken object-level access control vulnerability in its page REST API, where the PUT /wp-json/kirki/v1/pages/{page_id} route and the save_page_data, duplicate, and delete handlers in PageController.php rely only on a coarse role-to-access middleware check without performing a per-object WordPress capability check. A user with Kirki edit access, granted to the Editor role by default, can exploit this flaw to modify the title, slug, and publication status of any non-trashed post of any post type, including custom post types and WooCommerce products they do not own, exposing private or draft content or removing published content by manipulating the unrestricted post_status field.

Điểm và phân loại

CVSS
7.6 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-862

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L

Ảnh hưởng

Sản phẩm

  • Themeum Kirki

Vì sao bị lọc

  • CVSS 7.6 < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép
CWE-862

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck
CVE.org · SSVC
Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: partial

Tham khảo