Kirki mit über 500.000 Installationen: Fremde konnten Nutzerdaten auslesen

Im WordPress-Plugin Kirki konnten Fremde bis Version 6.3.2 ohne Anmeldung E-Mail-Adressen und Profildaten beliebiger Nutzer abrufen, Administratoren eingeschlossen. Angreifbar sind Websites, die auf einer veröffentlichten Seite Nutzerdaten über eine Kirki-Vorlage einblenden. Version 6.4.0 vom 13. Oktober schließt die Lücke und eine zweite im Vorlagen-Import. Für das Plugin mit über 500.000 Installationen ist das die dritte ohne Anmeldung ausnutzbare Lücke seit Juni.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Wordfence veröffentlichte beide Lücken am 16. Oktober, einen Tag später erschienen sie in der US-Schwachstellendatenbank NVD. Die ohne Anmeldung ausnutzbare Lücke, CVE-2026-107762, meldete der Sicherheitsforscher Md. Moniruzzaman Prodhan von Knight Squad. Wordfence bewertet sie nach CVSS 3.1 mit 7,5 von 10 Punkten und stuft sie damit als hoch ein.^[1]

Das Wichtigste in Kürze

• Kirki bis 6.3.2 gab ohne Anmeldung Profildaten beliebiger Nutzer heraus, behoben in 6.4.0 (CVSS 3.1: 7,5, vergeben von Wordfence).
• Angreifbar sind nur Websites, deren veröffentlichte Seiten Nutzerdaten über eine Kirki-Vorlage einblenden.
• Die zweite Lücke im Vorlagen-Import (CVSS 3.1: 7,2) setzt mindestens ein Redakteurskonto voraus.
• Angriffe sind bis zum 17. Oktober nicht bekannt.

Welche Daten gab Kirki an Fremde heraus?

Kirki war lange ein Werkzeug für den Theme-Customizer. Mit der 6er-Reihe machte der Hersteller Themeum daraus einen Baukasten für ganze Seiten mit dynamischen Inhalten. Ein solcher Baustein blendet etwa Name, Bild und Beschreibung eines Nutzers ein, für Autorenkästen oder Teamseiten. Laut Wordfence konnte ein Angreifer beim Abruf eines solchen Bausteins die Kennung eines beliebigen anderen Nutzers einsetzen. Kirki lieferte dann dessen E-Mail-Adresse, Anzeigenamen, Registrierungsdatum, Profilbild und alle als Text gespeicherten Profilfelder aus.^[1]

Die Kennungen der Nutzer lassen sich laut Wordfence über die öffentliche Programmierschnittstelle von WordPress auflisten. Einzige Hürde ist deshalb eine veröffentlichte Seite mit einem Nutzerbaustein aus einer Kirki-Vorlage.^[1] Laut Quellcode prüfte Kirki zwar, ob der Besucher den angefragten Inhalt sehen darf. Danach mischte das Plugin aber die ungeprüften Angaben aus der Anfrage dazu. Version 6.4.0 übernimmt nur noch die geprüften Werte.^[3]

Wie viele Kirki-Websites sind betroffen?

Installationen sind nicht gleich betroffene Websites. Laut der Versionsstatistik von wordpress.org liefen am 17. Oktober 17,5 Prozent der Installationen schon auf der Reihe 6.4. Gut 30 Prozent nutzten die alten Zweige 5.1 und 3.1, die den Seitenbaukasten laut Quellcode-Archiv nicht enthalten. Gefährdet sind vor allem die rund 29 Prozent auf den Zweigen 6.0 und 6.3, sofern dort Vorlagen mit Nutzerdaten laufen. Für gut ein Fünftel nennt die Statistik keinen Zweig.^[3]

Die Lücke setzt eine Serie fort. Im Juni ermöglichte eine kritische Kirki-Lücke ohne Anmeldung die Übernahme fremder Konten über den Passwort-Reset (CVE-2026-8206, CVSS 9,8).^[4] Am 7. Oktober folgte eine Lücke im Registrierungsformular, behoben in 6.3.2. Alle drei Fehler stecken in Programmteilen des Seitenbaukastens. Jeder Baustein, der Nutzerdaten auf öffentliche Seiten holt, braucht eine eigene Rechteprüfung.

Was sollten Betreiber jetzt tun?

• Aktualisieren: Bringen Sie Kirki auf 6.4.0 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind. Das Update schließt beide Lücken.^[3]
• Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, nehmen Sie Seiten mit Nutzerbausteinen vom Netz.
• Redakteursrechte begrenzen: Kirki gibt Redakteuren laut Wordfence standardmäßig vollen Zugriff auf den Vorlagen-Import. Schaden richtet die zweite Lücke nur an, wenn ein weiteres Plugin oder Theme Code enthält, den Angreifer über die Lücke zum Ausführen bringen können.^[2]
• Melden: Sind personenbezogene Daten an Fremde gelangt, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[5]

Offengelegte Adressen von Administratoren erleichtern gezielte Phishing-Mails. Agenturen aktualisieren deshalb zuerst Kundenwebsites mit Team- oder Autorenseiten aus Kirki. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich bieten teils automatische Plugin-Updates an.

FAQ: Kirki mit über 500.000 Installationen: Fremde konnten Nutzerdaten auslesen

Quellen

Mehr Newshunger?

• LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
• Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites
• Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
• Backuply mit über 600.000 Installationen: Eine Wiederherstellung kann Abonnenten zu Admins machen
• Complianz mit über 1 Million Installationen: zweite Lücke im Cookie-Blocker binnen eines Monats