漏洞速览
- 漏洞编号：
CVE-2026-75891 - 风险评分：
8.8（高危） - 首次披露：2026-10-26
- 最近更新：2026-10-26
- 软件类型：插件
- 软件标识：
kirki - 受影响版本：<= 6.2.5
- 修复版本：6.3.0
- 是否已修复：是
漏洞详情
WordPress 的 Kirki 插件存在权限提升漏洞，所有6.2.5 及以下版本均受影响。该漏洞源于 kirki_post_apis() 的 AJAX 分发逻辑中，'get-single-symbol' 分支在反序列化不可信输入时未做权限校验（缺少能力检查），因此构成 PHP 对象注入。已认证的低权限攻击者（订阅者级别及以上）即可借此注入 PHP 对象；若配合现有的 POP 链，攻击者可覆盖管理员密码并获取管理员权限。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) PHP Object Injection to Administrator Account Takeover via 'get-single-symbol' AJAX Endpoint
- 风险说明：漏洞可被用于账户接管，攻击者可能绕过正常认证流程获取用户会话。
- 研究人员：daroo
修复建议
- 按官方建议执行修复：更新至 6.3.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
