Veille sécuritéCMS & e-commerce
P4Moyenne
Kirki peut accepter des soumissions de formulaires sans vérification reCAPTCHA valide lorsqu’un attaquant omet le champ g-recaptcha-token. Cela peut entraîner des soumissions automatisées, des notifications ou webhooks déclenchés et une croissance non bornée des enregistrements de soumission.
WordPress
IdentifiantCVE-2026-112348
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.2.5
Source : NVD — CVE-2026-112348
Analyse technique
La méthode verify() retourne prématurément lorsque le jeton est vide, sans rejeter la soumission.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; la version corrigée 6.2.5 est indiquée dans le contenu de la fiche.
ImpactSoumissions abusives susceptibles de déclencher des notifications et webhooks et de remplir la table des soumissions.
Versions affectéesVersions antérieures à 6.2.5
Version corrigée6.2.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-30T14:16:38.087Z
Mise à jour2026-10-30T19:23:25.493Z
Action recommandée
Mettre à jour Kirki vers la version 6.2.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).