Kirki-Sicherheitslücke CVE-2026-102173 betrifft mehr als 500.000 WordPress-Installationen

Eine neue Kirki Sicherheitslücke ermöglicht unter bestimmten Voraussetzungen Stored Cross-Site Scripting (XSS), ohne dass ein Angreifer bereits über ein WordPress-Benutzerkonto verfügen muss. Die Schwachstelle wird als CVE-2026-102173 geführt und hat einen CVSS-Score von 7,2 High.

Kirki wird laut WordPress.org auf mehr als 500.000 WordPress-Installationen aktiv eingesetzt. Betroffen sind Kirki-Versionen bis einschließlich 6.3.1. Die Sicherheitskorrektur ist in Version 6.3.2 enthalten.

Was ist die Kirki Sicherheitslücke CVE-2026-102173?

Kirki ist ein weit verbreitetes WordPress-Plugin und Framework für Website- und Theme-Entwicklung. Es bietet unter anderem Customizer-Funktionen, visuelle Website-Entwicklung, dynamische Inhalte, Formulare und weitere Komponenten für WordPress-Websites.

Kirki wird außerdem von WordPress-Themes als technisches Framework verwendet. Dadurch kann die Komponente auch auf Websites vorhanden sein, auf denen der Website-Betreiber Kirki nicht bewusst als eigenständiges Werkzeug einsetzt.

CVE-2026-102173 ist eine Stored-Cross-Site-Scripting-Schwachstelle in der Verarbeitung bestimmter Registrierungs- und Benutzerdaten.

Nach den veröffentlichten technischen Informationen werden bestimmte Benutzermetadaten nicht ausreichend bereinigt, bevor sie in einem HTML-Bildelement verarbeitet werden.

Welche Kirki-Versionen sind betroffen?

• Kirki 6.3.1 und älter – verwundbar
• Kirki 6.3.2 und neuer – Sicherheitskorrektur enthalten

Die Schwachstelle wird als CVE-2026-102173 geführt und hat einen CVSS-3.1-Score von 7,2 High.

Vservs empfiehlt, nicht dauerhaft bei einer verwundbaren Kirki-Version zu bleiben und die aktuellste stabile Version zu installieren.

Wie funktioniert die Stored-XSS-Schwachstelle?

Die Schwachstelle befindet sich in der Verarbeitung von Benutzermetadaten innerhalb eines Bildelements.

Unter bestimmten Bedingungen kann ein vom Benutzer kontrollierter Wert unzureichend bereinigt in das src-Attribut eines HTML-Bildelements gelangen.

Dadurch kann ein Angreifer speziell präparierte Daten speichern, die beim späteren Aufruf einer betroffenen Seite zur Ausführung von JavaScript im Browser führen können.

Man spricht von Stored Cross-Site Scripting, weil die schädliche Eingabe zunächst innerhalb der WordPress-Installation gespeichert und erst bei einem späteren Seitenaufruf verarbeitet wird.

Dies unterscheidet Stored XSS von Reflected XSS, bei dem eine schädliche Payload normalerweise unmittelbar über einen manipulierten Request an ein Opfer übermittelt wird.

Wann kann CVE-2026-102173 ausgenutzt werden?

Nicht jede WordPress-Website mit einer verwundbaren Kirki-Version ist automatisch über CVE-2026-102173 angreifbar.

Für den beschriebenen Angriffsweg müssen zusätzliche Voraussetzungen erfüllt sein:

• Die Website verwendet Kirki 6.3.1 oder älter.
• Die öffentliche WordPress-Benutzerregistrierung ist aktiviert.
• Eine veröffentlichte Seite enthält ein kirki-register-Element.
• Eine Kirki-Benutzercollection stellt ein Bildelement dar, das mit einem der betroffenen Registrierungsfelder verknüpft ist.

Sind diese Voraussetzungen erfüllt, kann ein externer Angreifer versuchen, über den Registrierungsprozess speziell präparierte Daten zu speichern.

Ein bereits vorhandenes WordPress-Benutzerkonto ist für diesen Angriffspfad nicht erforderlich.

Welche Auswirkungen kann Stored XSS haben?

Bei erfolgreicher Ausnutzung kann vom Angreifer kontrollierter JavaScript-Code innerhalb des Sicherheitskontexts der betroffenen WordPress-Website ausgeführt werden.

Abhängig davon, welcher Benutzer die manipulierte Seite aufruft und welche Funktionen dort verfügbar sind, können sich unterschiedliche Auswirkungen ergeben.

Mögliche Folgen sind unter anderem:

• Manipulation der dargestellten Website-Inhalte;
• Ausführung unerwünschter JavaScript-Aktionen;
• Einblenden manipulierter Inhalte oder Formulare;
• Zugriff auf Informationen, die innerhalb des Browserkontexts verfügbar sind;
• Ausführung unerwünschter Aktionen innerhalb einer bestehenden Benutzersitzung, sofern die jeweiligen Voraussetzungen erfüllt sind.

Eine Stored-XSS-Schwachstelle bedeutet nicht automatisch, dass ein Angreifer vollständigen Zugriff auf WordPress oder den zugrunde liegenden Webserver erhält.

Die tatsächliche Auswirkung hängt davon ab, in welchem Kontext die gespeicherte Payload ausgeführt wird und welche Rechte der betroffene Benutzer besitzt.

Mehr als 500.000 aktive Kirki-Installationen

Kirki hat laut offizieller WordPress Plugin Directory mehr als 500.000 aktive Installationen.

Damit gehört das Plugin beziehungsweise Framework zu den weit verbreiteten WordPress-Komponenten.

Die hohe Zahl aktiver Installationen bedeutet nicht, dass alle diese Websites tatsächlich die für CVE-2026-102173 erforderliche Konfiguration verwenden.

Die Kombination aus einer großen Installed Base, einer öffentlich bekannten Schwachstelle und einer verfügbaren Sicherheitsaktualisierung macht ein zeitnahes Update dennoch wichtig.

Wird CVE-2026-102173 aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige öffentliche Bestätigung gefunden, dass CVE-2026-102173 aktiv in freier Wildbahn ausgenutzt wird.

Die Veröffentlichung technischer Details zu einer Schwachstelle ist nicht mit bestätigter aktiver Exploitation gleichzusetzen.

Vservs spricht deshalb nicht von einer laufenden Angriffskampagne, solange dies nicht durch zuverlässige Security-Quellen eindeutig bestätigt wird.

Da die Schwachstelle öffentlich bekannt und eine korrigierte Version verfügbar ist, sollte das Update dennoch ohne unnötige Verzögerung installiert werden.

Kirki sofort auf Version 6.3.2 oder neuer aktualisieren

Die Sicherheitskorrektur ist in Kirki 6.3.2 enthalten.

WordPress.org bestätigt für Version 6.3.2 mehrere Sicherheitsverbesserungen, darunter Korrekturen im Zusammenhang mit sensiblen Metadaten.

WordPress-Administratoren können die installierte Version über folgende Stelle kontrollieren:

WordPress Dashboard → Plugins → Installierte Plugins

Ist Kirki 6.3.1 oder älter installiert, sollte die Komponente auf mindestens Version 6.3.2 beziehungsweise auf die aktuellste verfügbare stabile Version aktualisiert werden.

Erstellen beziehungsweise kontrollieren Sie vor dem Update ein aktuelles Backup der Website und Datenbank.

Wird Kirki durch ein Theme oder andere Website-Komponenten verwendet, sollten nach dem Update insbesondere Customizer-, Formular-, Registrierungs- und Frontend-Funktionen getestet werden.

Öffentliche WordPress-Benutzerregistrierung kontrollieren

Da eine öffentlich erreichbare Benutzerregistrierung zu den Voraussetzungen für den beschriebenen Angriff gehört, sollte diese WordPress-Einstellung ebenfalls überprüft werden.

Sie finden die Einstellung unter:

WordPress Dashboard → Einstellungen → Allgemein

Prüfen Sie dort, ob sich Besucher selbst als Benutzer registrieren können.

Wird eine öffentliche Registrierung für die Website nicht benötigt, sollte sie deaktiviert werden.

Websites, die Benutzerregistrierung für Membership-, Community- oder andere Funktionen benötigen, sollten diese Funktion nicht allein wegen der Schwachstelle entfernen. Entscheidend ist in diesem Fall, Kirki auf eine sichere Version zu aktualisieren.

Das Deaktivieren der Registrierung ist lediglich eine mögliche zusätzliche Risikoreduzierung und kein Ersatz für das Sicherheitsupdate.

Website auf mögliche Exploitation prüfen

Websites, auf denen Kirki 6.3.1 oder älter mit der betroffenen Konfiguration aktiv war, können zusätzlich auf auffällige Registrierungs- und Benutzerdaten untersucht werden.

Kontrollieren Sie unter anderem:

• unbekannte Benutzerkonten, die während des betroffenen Zeitraums angelegt wurden;
• ungewöhnliche HTML- oder JavaScript-Inhalte in Registrierungsfeldern;
• auffällige Werte innerhalb von Benutzermetadaten;
• ungewöhnliche Registrierungsrequests in Webserver- oder WAF-Logs;
• veröffentlichte Seiten, die ein kirki-register-Element verwenden;
• Kirki-Benutzercollections, in denen Registrierungsdaten als Bild dargestellt werden;
• unerwartete JavaScript-Ausführung auf betroffenen Seiten.

Ein ungewöhnlicher Registrierungsrequest allein ist kein Beweis für eine erfolgreiche Stored-XSS-Exploitation.

Verdächtige Requests sollten mit tatsächlich gespeicherten Benutzerdaten, Website-Inhalten und Browseraktivitäten abgeglichen werden.

Kirki-Version mit WP-CLI kontrollieren

Administratoren mit Zugriff auf WP-CLI können die installierte Kirki-Version beispielsweise mit folgendem Befehl kontrollieren:

wp plugin get kirki --field=version

Ob die öffentliche WordPress-Registrierung aktiviert ist, lässt sich überprüfen mit:

wp option get users_can_register

Ein Wert von 1 bedeutet normalerweise, dass die öffentliche Benutzerregistrierung aktiviert ist.

Diese Befehle helfen bei der Konfigurationskontrolle, ersetzen jedoch keine vollständige Sicherheitsanalyse.

Ein Update entfernt keine bereits gespeicherte XSS-Payload

Bei Stored XSS ist zu beachten, dass eine bereits erfolgreich gespeicherte schädliche Payload nach der Installation eines Sicherheitsupdates weiterhin in der Datenbank vorhanden sein kann.

Das Update auf Kirki 6.3.2 oder neuer verhindert die weitere Ausnutzung über den korrigierten Codepfad, entfernt aber nicht automatisch jede zuvor gespeicherte verdächtige Benutzereingabe.

Gibt es Hinweise auf eine erfolgreiche Ausnutzung, sollten deshalb zusätzlich die betreffenden Benutzerkonten, Benutzermetadaten und Kirki-Inhalte kontrolliert werden.

Prüfen Sie anschließend, ob die betroffenen Seiten keine unerwarteten Scripts oder manipulierten Inhalte mehr ausführen beziehungsweise anzeigen.

Managed WordPress Hosting bei Vservs

Die Kirki Sicherheitslücke zeigt erneut, dass WordPress-Sicherheit nicht bei WordPress Core endet. Gerade weit verbreitete Plugins, Theme-Frameworks und Website-Builder bilden einen wichtigen Teil der Angriffsfläche einer WordPress-Website.

Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Malwarekontrollen, Backups, SSL und das technische WordPress-Management.

Für geschäftskritische WordPress-Websites und WooCommerce-Webshops stehen zusätzlich umfangreichere Managed-WordPress-Lösungen mit eigener VPS-Umgebung und erweitertem technischen Management zur Verfügung.

Zusammenfassung

• Software: Kirki – Freeform Page Builder, Website Builder & Customizer
• Entwickler: Themeum
• CVE: CVE-2026-102173
• Schwachstelle: Stored Cross-Site Scripting
• CVSS: 7,2 – High
• Aktive Installationen: mehr als 500.000
• Betroffene Versionen: Kirki 6.3.1 und älter
• Erste korrigierte Version: Kirki 6.3.2
• Authentifizierung: kein bereits bestehendes Benutzerkonto erforderlich, wenn die beschriebenen Voraussetzungen erfüllt sind
• Voraussetzungen: unter anderem öffentliche Registrierung und betroffene Kirki-Elemente
• Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
• Empfehlung: sofort aktualisieren und die öffentliche Benutzerregistrierung kontrollieren

Quellen

• Wordfence Intelligence – CVE-2026-102173
• WordPress.org – Kirki Plugin Directory und Changelog
• CVE Program – CVE-2026-102173