CVE-2026-18347

Nome do Software Vulnerável e Versões Afetadas Kirki – Freeform Page Builder, Website Builder & Customizer versões anteriores a 6.1.2

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso customizado ou superior podem ler metadados de usuários arbitrários e campos de registros sensíveis, como endereços de e-mail, funções atribuídas, data de registro e valores de user meta, de qualquer usuário do WordPress, incluindo administradores. Isso é feito fornecendo um ID de usuário alvo com um contexto de tipo de usuário para o endpoint de coleta do frontend através do parâmetro context.

Recomendações Atualize o plugin para uma versão posterior à 6.1.1.