→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-75891 · kirki

تصاحب حساب کاربری (Account Takeover) در افزونه Kirki – Freeform Page Builder, Website Builder & Customizer

بالا plugin CVSS 8.8

افزونه Kirki وردپرس تا نسخه ۶.۲.۵ به‌دلیل نبود بررسی سطح دسترسی در شاخه get-single-symbol از توزیع‌کننده AJAX تابع kirki_post_apis() و سریال‌زدایی ورودی نامعتبر، در برابر افزایش سطح دسترسی از طریق تزریق شیء PHP (Object Injection) آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح Subscriber و بالاتر می‌توانند یک شیء PHP تزریق کنند و با وجود زنجیره POP، گذرواژه مدیر را بازنویسی کرده و دسترسی مدیریتی به وب‌سایت به‌دست آورند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 6.2.5

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته kirki را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تصاحب حساب کاربری (Account Takeover) در افزونه Kirki – Freeform Page Builder, Website Builder & Customizer

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر