WordPressのKirkiプラグインは、バージョン6.2.5を含むすべてのバージョンにおいて、`kirki_post_apis()`というAJAXディスパッチャの「get-single-symbol」という部分を介した、信頼できない入力のデシリアライズによるPHPオブジェクトインジェクションの脆弱性があり、これにより権限昇格のリスクがあります。これは、Subscriberレベル以上のアクセス権を持つ認証された攻撃者が、PHPオブジェクトを注入することを可能にします。さらに、POP（PHP Object Poisoning）の連鎖が存在することで、攻撃者は管理者のパスワードを上書きし、管理者権限を奪うことが可能になります。
CVSS 3.1：8.8 (高い) (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)