CVE-2026-75891

Nome do Software Vulnerável e Versões Afetadas Kirki versões anteriores a 6.2.6

Descrição A escalada de privilégios é possível através de Injeção de Objeto PHP, que ocorre quando entradas não confiáveis são desserializadas. Este problema existe no ramo 'get-single-symbol' do dispatcher AJAX kirki post apis() devido à ausência de uma verificação de capacidade. Usuários autenticados com nível de acesso Assinante ou superior podem injetar um Objeto PHP. Ao utilizar uma POP chain (uma sequência de gadgets usada para executar código arbitrário durante a desserialização), um invasor pode sobrescrever a senha de um administrador para obter acesso administrativo total.

Recomendações Atualize para a versão 6.2.6 ou posterior.