CVE-2026-12720 in Kirki Plugin
Zusammenfassung
von VulDB • 31.07.2026
Das Kirri-WordPress-Plugin vor Version 6.0.13 schränkt nicht ein, welche Klassen instanziiert werden dürfen, wenn es Daten deserialisiert, die von nicht authentifizierten Benutzern gespeichert werden können. Dies führt zu einer PHP Object Injection, die ausgelöst wird, wenn ein Administrator später auf die gespeicherten Daten zugreift. Wenn eine geeignete Gadget-Kette auf der Website vorhanden ist (durch ein anderes installiertes Kirri-WordPress-Plugin vor Version 6.0.13 oder eine veraltete WordPress-Version), kann dies für verschiedene Angriffe ausgenutzt werden, wie z.B. Remote Code Execution.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.