[monkeyvuln] / [vulnerabilidades] / plugin

Kirki – Freeform Page Builder, Website Builder & Customizer

kirki

crítica 3alta 6media 11sin dato 11

∴ 3 fallos no tienen parche disponible todavía — valora desactivar este componente

Datos actualizados el 19 de septiembre de 2026.

crítica 9.8CVE-2026-8206
Unauthenticated Privilege Escalation via 'handle_forgot_password'
versiones afectadas:
< 6.0.7
corregido en:
6.0.7
publicada:
2026-06-02
crítica 9.3CVE-2026-57726
Unauthenticated SQL Injection
versiones afectadas:
< 6.0.13
corregido en:
6.0.13
publicada:
2026-07-13
crítica 9.8CVE-2026-57724
Unauthenticated PHP Object Injection
versiones afectadas:
< 6.0.13
corregido en:
6.0.13
publicada:
2026-07-13
alta 7.5CVE-2026-8073
Unauthenticated Limited Arbitrary File Read and Deletion via downloadZIP
versiones afectadas:
< 6.0.7
corregido en:
6.0.7
publicada:
2026-05-19
alta 7.5CVE-2026-57727
(unfixed)
versiones afectadas:
≤ 6.1.1
corregido en:
sin parche disponible
publicada:
2026-07-13
alta 7.1CVE-2026-57725
Unauthenticated Stored Cross-Site Scripting
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-13
alta 7.1CVE-2026-66629
(unfixed)
versiones afectadas:
≤ 6.2.4
corregido en:
sin parche disponible
publicada:
2026-08-18
alta 7.5CVE-2026-84219
Unauthenticated Stored Cross-Site Scripting
versiones afectadas:
< 6.3.0
corregido en:
6.3.0
publicada:
2026-09-06
alta 7.2CVE-2026-17037
(unfixed)
versiones afectadas:
≤ 6.2.0
corregido en:
sin parche disponible
publicada:
2026-09-11
media 6.5CVE-2026-8096
Missing Authorization to Authenticated (Subscriber+) Sensitive Form Submission Data Exposure via 'kirki_wp_admin_get_apis' Action
versiones afectadas:
< 6.0.7
corregido en:
6.0.7
publicada:
2026-05-19
media 4.9CVE-2026-57627
Authenticated (Subscriber+) Server-Side Request Forgery
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-06-26
media 5.3CVE-2026-12122
Missing Authorization to Unauthenticated Sensitive Information Exposure via kirki_post_apis_nopriv AJAX Action
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-02
media 5.3CVE-2026-12472
Missing Authorization to Unauthenticated Arbitrary Email Content Injection (Mail Relay / Phishing) via 'emailBody' and 'emailSubject' Parameters
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-02
media 6.5CVE-2026-57680
Authorization Bypass Through User-Controlled Key en Kirki
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-02
media 4.9CVE-2026-15457
Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via 'family' Parameter
versiones afectadas:
< 6.0.14
corregido en:
6.0.14
publicada:
2026-07-17
media 4.9CVE-2026-15601
Authenticated (Editor+) Path Traversal to Arbitrary File Write (Zip Slip)
versiones afectadas:
< 6.1.0
corregido en:
6.1.0
publicada:
2026-08-01
media 6.4CVE-2026-16974
Authenticated (Contributor+) Stored Cross-Site Scripting via post_meta Shortcode
versiones afectadas:
< 6.2.1
corregido en:
6.2.1
publicada:
2026-08-11
media 6.5CVE-2026-16747
Unauthenticated Remote Code Execution
versiones afectadas:
< 6.2.1
corregido en:
6.2.1
publicada:
2026-08-12
media 4.9CVE-2026-17604
Authenticated (Editor+) Path Traversal to Arbitrary File Read via 'data' Parameter
versiones afectadas:
< 6.2.0
corregido en:
6.2.0
publicada:
2026-08-16
media 4.3CVE-2026-18347
Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'context' Parameter
versiones afectadas:
< 6.2.0
corregido en:
6.2.0
publicada:
2026-08-16
sin datoCVE-2026-12724
Unauthenticated HTML Injection
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-20
sin datoCVE-2026-12723
Missing Authorization
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-20
sin datoCVE-2026-13147
Unauthenticated Server-Side Request Forgery
versiones afectadas:
< 6.0.12
corregido en:
6.0.12
publicada:
2026-07-20
sin datoCVE-2026-13464
Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'context' Parameter
versiones afectadas:
< 6.1.0
corregido en:
6.1.0
publicada:
2026-07-23
sin datoCVE-2026-12721
Unauthenticated SQL Injection
versiones afectadas:
< 6.0.13
corregido en:
6.0.13
publicada:
2026-07-31
sin datoCVE-2026-12720
Unauthenticated PHP Object Injection
versiones afectadas:
< 6.0.13
corregido en:
6.0.13
publicada:
2026-07-31
sin datoCVE-2026-74992
Authenticated (Editor+) Stored Cross-Site Scripting
versiones afectadas:
< 6.2.3
corregido en:
6.2.3
publicada:
2026-08-20
sin datoCVE-2026-77754
Missing Authorization
versiones afectadas:
< 6.0.14
corregido en:
6.0.14
publicada:
2026-08-26
sin datoCVE-2026-84225
Authenticated (Custom Role+) Insecure Direct Object Reference
versiones afectadas:
< 6.3.0
corregido en:
6.3.0
publicada:
2026-09-05
sin datoCVE-2026-84221
Authenticated (Editor+) SQL Injection
versiones afectadas:
< 6.3.0
corregido en:
6.3.0
publicada:
2026-09-05
sin datoCVE-2026-84222
Unauthenticated Information Exposure
versiones afectadas:
≥ 6.2.1 y < 6.3.0
corregido en:
6.3.0
publicada:
2026-09-09

¿Tu WordPress usa este plugin? Compruébalo en menos de un minuto.

[comprueba si tu wordpress es vulnerable]