CVE-2026-12720 in Kirki Plugin
Sumário
de VulDB • 31/07/2026
O plugin WordPress Kirki anterior à versão 6.0.13 não restringe quais classes podem ser instanciadas ao desserializar dados que usuários não autenticados podem armazenar, o que leva a uma Injeção de Objetos PHP (PHP Object Injection) acionada quando um administrador revisa os dados armazenados posteriormente. Com uma cadeia de gadgets adequada presente no site (por meio de outro plugin WordPress Kirki anterior à versão 6.0.13 instalado ou por uma versão desatualizada do WordPress), isso pode ser explorado para realizar diversos ataques, como execução remota de código (RCE).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.