Kirki : faille de contrôle d'accès corrigée en 6.4.1

En bref

• Produit : Kirki (extension WordPress de construction de pages et de personnalisation).
• Versions affectées : toutes les versions antérieures à 6.4.1.
• Version corrigée : 6.4.1.
• Sévérité : élevée, score CVSS 7.6.
• CVE : CVE-2026-112347.
• Exploitation active : inconnu.
• Date de l'avis : 30 octobre 2026.

Une faille de contrôle d'accès a été publiée dans l'extension WordPress Kirki. Elle permet à un compte disposant de l'accès d'édition Kirki de modifier des contenus qui ne lui appartiennent pas. Le correctif est disponible dans la version 6.4.1 de l'extension.

De quoi s'agit-il ?

Selon la fiche NVD, l'API REST de gestion des pages de Kirki vérifie seulement, de façon globale, que l'utilisateur dispose d'un accès Kirki. Elle ne contrôle pas, pour chaque contenu visé, que l'utilisateur possède les droits WordPress correspondants sur ce contenu précis. Il s'agit d'un défaut de contrôle d'accès au niveau de l'objet (« broken object-level access control »).

Conséquence décrite par l'avis : un utilisateur ayant l'accès d'édition Kirki peut modifier le titre, le slug et le statut de publication de n'importe quel contenu qui n'est pas dans la corbeille, quel que soit son type : articles, pages, types de contenus personnalisés et produits WooCommerce, y compris ceux dont il n'est pas l'auteur. Des contenus privés ou des brouillons peuvent ainsi être exposés, et des contenus publiés peuvent être retirés du site.

D'après la description disponible, la faille suppose un compte authentifié disposant de l'accès Kirki : un visiteur anonyme ne peut pas l'exploiter seul. Le risque reste réel sur les sites où plusieurs personnes ont des comptes de rédaction, ou si l'un de ces comptes est compromis.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent l'extension Kirki dans une version antérieure à 6.4.1. Par défaut, l'accès d'édition Kirki est accordé au rôle Éditeur : tout site comptant des utilisateurs avec ce rôle, en plus des administrateurs, est donc exposé. Les boutiques WooCommerce sont également touchées, puisque les fiches produits font partie des contenus modifiables.

Kirki est une extension largement diffusée sur le répertoire officiel WordPress.org. Il est utile de vérifier sa présence dans la liste des extensions de chaque site, y compris lorsqu'elle n'a pas été installée volontairement par l'équipe actuelle.

Que faire ?

• Mettre à jour Kirki vers la version 6.4.1 ou une version ultérieure, depuis l'administration WordPress ou votre outil de maintenance.
• En attendant la mise à jour, revoir la liste des comptes disposant du rôle Éditeur ou d'un accès Kirki, et retirer les accès inutiles.
• Vérifier les journaux d'activité et l'historique des contenus : changements inattendus de titre, de slug ou de statut (contenus dépubliés, brouillons ou pages privées rendus publics).
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure aux modifications, puis changer les mots de passe des comptes concernés.

À la date de l'avis, cette vulnérabilité ne figure pas au catalogue des vulnérabilités exploitées de la CISA. Le calendrier de divulgation n'est pas précisé par l'éditeur.

Sources

• NVD : fiche CVE-2026-112347
• VulnCheck : avis sur la faille de contrôle d'accès de Kirki
• WordPress.org : page officielle de l'extension Kirki
• WordPress.org : journal des versions de Kirki