CVE-2026-102173

Vulnérabilité élevée dans Kirki – Freeform Page Builder, Website Builder & Customizer (themeum)

CVSS 7.2 · Élevée

EPSS 0.4%

themeum•Kirki – Freeform Page Builder, Website Builder & Customizer•Versions : <=6.3.1, 0

Description

The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via registration metadata in all versions up to, and including, 6.3.1 This is due to insufficient escaping in `ExceptionalElements::image_element()`, which concatenates a user-meta value straight into an `<img src="…">` attribute. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute whenever a user accesses a page rendering a Kirki users collection whose image element is bound to one of the nine registration meta fields. Requires public user registration to be enabled and a published page carrying a `kirki-register` element, which prints the required element nonce into the public markup.

Gravité et risque d'exploitation

CVE-2026-102173 obtient un score CVSS de 7.2/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.37 %, ce qui la place devant 29.0 % des CVE référencées.

Que faire ?

Vérifiez si Kirki – Freeform Page Builder, Website Builder & Customizer (versions <=6.3.1, 0) est présent sur votre parc.
Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

CVE-2026-102173

Description

Gravité et risque d'exploitation

Que faire ?

Références