یک آسیب‌پذیری امنیتی از نوع Blind Server-Side Request Forgery (SSRF) در افزونه Kirki (سازنده صفحات و سفارشی‌ساز وب‌سایت) برای سیستم مدیریت محتوای وردپرس شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-18335 ثبت شده، تمامی نسخه‌های این افزونه تا einschließlich نسخه 6.2.0 را تحت تأثیر قرار می‌دهد. مشکل از طریق پارامتر kirki_data ایجاد شده است که به مهاجمان اجازه می‌دهد درخواست‌های وب (Web Requests) را از سمت سرور اپلیکیشن به مقاصد دلخواه ارسال کنند.
تأثیرات امنیتی
- عدم نیاز به احراز هویت: مهاجمان بدون نیاز به داشتن حساب کاربری (Unauthenticated) می‌توانند از این حفره استفاده کنند.
- دسترسی به سرویس‌های داخلی: این آسیب‌پذیری می‌تواند برای پرس‌وجو (Query) و تغییر اطلاعات در سرویس‌های داخلی شبکه که برای عموم در دسترس نیستند، مورد استفاده قرار گیرد.
- حملات Blind: از آنجایی که این یک SSRF از نوع Blind است، مهاجم ممکن است پاسخ مستقیم سرور را دریافت نکند، اما همچنان می‌تواند بر زیرساخت‌های داخلی اثر بگذارد.
