Themeum Kirki: Fehlende Zugriffskontrolle durch Schwachstelle bei Eingabevalidierung

Zusammenfassung

Kirki ist ein WordPress-Plugin, das Theme-Entwickler als Customizer-Toolkit einsetzen; es kann auch in Themes eingebettet sein, wo es für normale Plugin-Updates nicht sichtbar ist. Laut CVE-Beschreibung kann ein Angreifer auf Funktionen zugreifen, die durch Access Control Lists nicht ausreichend eingeschränkt sind, weil eine angegebene Menge in Eingaben nicht validiert wird. Der CVSS-Vektor bewertet die Schwachstelle mit 8.2 (hoch): Sie ist über das Netzwerk mit geringer Komplexität erreichbar, erfordert keine Berechtigungen und keine Benutzerinteraktion und betrifft Vertraulichkeit und Integrität. Der Patchstack-Titel verweist auf Arbitrary Code Execution, was der CVE-Text nicht bestätigt; die tatsächliche Auswirkung ist daher unverifiziert.

Betroffen

• Kirki von n/a bis einschliesslich 6.3.1 (CVE-Eintrag)
• Patchstack gibt die verwundbaren Versionen mit <= 6.3.1 an
• Themes, die Kirki einbetten, können eine verwundbare Version enthalten, ohne dass ein Plugin-Update sichtbar ist

Behoben in

• Hersteller- und CNA-Angaben: Update auf 6.3.2 oder neuer (Patchstack, CVE-Eintrag)
• Nicht unabhängig bestätigt gegenüber dem Themeum-Advisory oder dem WordPress.org-Changelog
• Die neueste verfügbare Version wird empfohlen; andere Kirki-CVEs aus 2026 sind in 6.4.1 behoben

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden.
• Falls kein Update möglich ist, Kirki deaktivieren, sofern kein Theme oder keine Seite davon abhängt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn in den Quellen gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Aggregatoren geben an, die CVE sei nicht im CISA-KEV-Katalog; es ist kein öffentlicher Exploit-Code bestätigt.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, daher ist das Risiko erhöht.

Unsere Empfehlung

• Alle WordPress-Installationen erfassen, einschliesslich Multisite und in Themes eingebettetem Kirki, und die genaue Version notieren.
• Kirki so rasch wie möglich auf die neueste Version (6.4.1 oder neuer) aktualisieren.
• Falls kein Update möglich ist, Kirki deaktivieren, sofern es nicht benötigt wird.
• Administratorkonten und aktuelle Logs auf ungewöhnliche Aktivitäten prüfen.
• Die fixe Version anhand des Patchstack- oder Themeum-Advisorys verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WordPress Kirki plugin <= 6.3.1 Arbitrary Code Execution vulnerability patchstack.com
• Rapid7 via Vulners: CVE-2026-103065 vulners.com
• VulDB: CVE-2026-103065 vuldb.com
• Strix: CVE-2026-103065 www.strix.ai
• OffSeq Radar: CVE-2026-103065 radar.offseq.com
• TheHackerWire: CVE-2026-103065 www.thehackerwire.com
• WordPress.org: Kirki plugin wordpress.org
• Themeum Kirki documentation: integration docs.themeum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:03.