→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-14572 · kirki

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Kirki

افزونه Kirki (صفحه‌ساز آزاد، سازنده وب‌سایت و سفارشی‌ساز) برای وردپرس در همه نسخه‌های تا و شامل 6.2.0، به‌دلیل پاک‌سازی ناکافی ورودی و گریز (escaping) ناکافی خروجی، از طریق محتوای متنی صفحه‌ساز در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احراز هویت‌شده‌ای که مدیر قابلیت kirki_content_access را به او داده باشد می‌تواند اسکریپت‌های وب دلخواه را در صفحات تزریق کند تا هنگام بازدید کاربر از صفحه آلوده اجرا شوند. وصله رسمی تاکنون منتشر نشده است؛ از ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید و تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) برای کاهش خطر استفاده کنید.