Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-107762 Referencia directa insegura a objetos con exposición de información sensible sin autenticación en Kirki

El plugin Kirki para WordPress es vulnerable a referencia directa insegura a objetos en todas las versiones hasta la 6.3.2 mediante el parámetro 'context', por falta de validación de una clave controlada por el usuario. Atacantes no autenticados pueden exponer datos sensibles de perfil de usuarios arbitrarios, como correo, nombre visible, nicename, fecha de registro, URL de imagen de perfil y campos de metadatos de usuario con valor de cadena, a través de la respuesta REST; se requiere una página publicada que…

Alerta de Nureq Monitor

Detectada 17 OCT · 02:06

CVSS 3.1

7.5ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 33

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-107762

El plugin Kirki para WordPress es vulnerable a referencia directa insegura a objetos en todas las versiones hasta la 6.3.2 mediante el parámetro 'context', por falta de validación de una clave controlada por el usuario. Atacantes no autenticados pueden exponer datos sensibles de perfil de usuarios arbitrarios, como correo, nombre visible, nicename, fecha de registro, URL de imagen de perfil y campos de metadatos de usuario con valor de cadena, a través de la respuesta REST; se requiere una página publicada que…

Productos y versiones afectadas

  • themeum Kirki – Freeform Page Builder, Website Builder & Customizer

    • hasta 6.3.2

Qué hacer

  1. Verificá si usás Kirki – Freeform Page Builder, Website Builder & Customizer y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.3.2 via the 'context' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to expose arbitrary users' sensitive profile data — including email address, display name, nicename, registration date, profile image URL, and any string-valued user meta fields such as first name, last name, nickname, description, and custom meta keys — via the REST response. Exploitation requires a published page that uses a Kirki template containing at least one user-type dynamic content block; target user IDs are enumerable via standard WordPress REST endpoints, making the only prerequisite the presence of such a template on the site.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.