Kirki < 6.0.13 - Unauthenticated PHP Object Injection
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 7.5epss 0.3%
da publicação à arma4 dias
Publicada no NVD31 de jul.
1ª PoC+4d
probabilidade de exploração
0.3%top 77% das CVEs
exploração observada
nãonenhuma fonte reporta
2 exploit(s) público(s)
The Kirki WordPress plugin before 6.0.13 does not restrict which classes may be instantiated when it deserialises data that unauthenticated users can store, leading to PHP Object Injection that is triggered when an administrator later reviews the stored data. With a suitable gadget chain present on the site (via another installed Kirki WordPress plugin before 6.0.13, , or an outdated WordPress version), this could be leveraged to perform a variety of attacks, such as remote code execution.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Unknown · KirkiPoCs públicas encontradas — 2
githubgithub.com/webshellseo8/CVE-2026-12720-Proof-of-Concept★ 0cve_referencewpscan.com/vulnerability/22f5af1c-972e-4e31-9afa-bf50ac278c66/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.