Mitä tapahtui
Kirki-lisäosasta on löydetty haavoittuvuus, joka koskee kaikkia versioita 6.2.5 asti. Haavoittuvuus liittyy lisäosan tapaan käsitellä tiettyä AJAX-pyyntöä: se ei tarkista riittävästi, kenellä on oikeus suorittaa kyseinen toiminto. Tämä mahdollistaa niin sanotun PHP-objektin injektoinnin (PHP Object Injection), jossa haitallista dataa syötetään ohjelman sisäiseen tiedonkäsittelyyn. Hyödyntämällä tätä aukoa kirjautunut käyttäjä voi vaihtaa ylläpitäjän salasanan ja ottaa sivuston hallinnan.
Keitä tämä koskee
Haavoittuvuus koskee kaikkia WordPress-sivustoja, joilla on asennettuna Kirki-lisäosa versiossa 6.2.5 tai sitä vanhemmassa. Hyökkäys edellyttää, että tekijällä on vähintään tilaajan (Subscriber) tasoinen käyttäjätunnus sivustolle. CVSS-pisteet ovat 8.8 (High).
Mitä kannattaa tehdä
Päivittäkää Kirki-lisäosa versioon 6.3.0 tai uudempaan.
Näin näette lisäosan version: WordPressin hallinnassa Lisäosat → Asennetut lisäosat.
Tarkistamme Aimovahdin ylläpitoasiakkaiden sivustot ja kerromme, jos jokin vaatii toimia. Jos ette ole varmoja sivustonne tilanteesta, maksuton kuntotarkastus kertoo sen.
Lähde: Kirki <= 6.2.5 – Authenticated (Subscriber+) PHP Object Injection to Administrator Account Takeover via 'get-single-symbol' AJAX Endpoint, wordfence.com.
Tekijänoikeudet ja lisenssit
Haavoittuvuustiedot: Wordfence Intelligence (Defiant Inc.). Tiedot on käännetty ja tiivistetty alla olevien lisenssien mukaisesti.
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. https://www.cve.org/Legal/TermsOfUse