Uma vulnerabilidade crítica de escalada de privilégios (CVE-2026-8206) no plugin Kirki para WordPress está sendo explorada por hackers para assumir o controle de contas de usuário, incluindo as de administradores. A falha permite que invasores não autenticados enviem links de redefinição de senha para qualquer usuário registrado no site para seu próprio endereço de e-mail.
Detalhes Técnicos
CVE-2026-8206: Vulnerabilidade de escalada de privilégios com CVSS 9.8 (CRÍTICA), publicada em 2026-06-02T04:17:03.550.
Versões Afetadas: Todas as versões do plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress de 6.0.0 a 6.0.6.
Causa: O plugin aceita um endereço de e-mail arbitrário quando um nome de usuário é usado na solicitação de redefinição de senha.
Impacto: Permite que invasores não autenticados enviem links de redefinição de senha para qualquer usuário registrado no site para seu próprio endereço de e-mail, possibilitando a tomada de controle de contas.
Recomendações
Atualizar o plugin Kirki para uma versão que não seja vulnerável (se disponível).
Implementar medidas de segurança adicionais para monitorar e restringir solicitações de redefinição de senha.
Informar os administradores do site sobre o risco e a importância da atualização imediata.
