CVE-2026-13147: Kirki WordPress Plugin umożliwia SSRF przed wersją 6.0.12

Co wiadomo

Wtyczka Kirki dla WordPressa w wersjach przed 6.0.12 nie weryfikuje poprawności URL dostarczanego przez użytkownika przed wykonaniem żądania po stronie serwera. Pozwala to nieautoryzowanym atakującym na wymuszenie na serwerze wykonania żądań HTTP do dowolnych hostów (Server-Side Request Forgery).

Wpływ biznesowy

Atak SSRF może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych sieci lub ujawnienia informacji, co stanowi zagrożenie dla bezpieczeństwa infrastruktury IT. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką Kirki powinni rozważyć ryzyko niekontrolowanych żądań wychodzących z serwera, które mogą być wykorzystane do dalszych ataków lub naruszeń danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Kirki do wersji 6.0.12 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do funkcji generujących żądania HTTP oraz monitorować logi serwera pod kątem podejrzanych aktywności. Warto także przeprowadzić przegląd polityk bezpieczeństwa i ograniczyć możliwość wykonywania zewnętrznych żądań przez serwer.

Źródła

• NVD
• Reference