Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Kirki jusqu’à la version 6.2.5 inclus présente une injection d’objet PHP via la désérialisation d’une entrée non fiable, sans contrôle de capacité adéquat. Un attaquant authentifié disposant au minimum d’un rôle Subscriber peut, en présence de la chaîne POP décrite, viser une élévation de privilèges jusqu’à l’accès administrateur.
WordPress
IdentifiantCVE-2026-75891
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-75891
Analyse technique
La désérialisation intervient dans la branche « get-single-symbol » du répartiteur AJAX kirki_post_apis(); l’avis décrit une chaîne POP permettant la prise de contrôle d’un compte administrateur.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée le 2026-10-27T07:16:32.500Z, dans la période demandée. La mise à jour NVD du 2026-10-29T02:16:53.327Z est postérieure à la période et n’est pas retenue comme événement.
ImpactÉlévation de privilèges pouvant conduire à l’accès administrateur.
Versions affectéesToutes les versions jusqu’à 6.2.5 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,31% · percentile 23,1%
Publication2026-10-27T07:16:32.500Z
Mise à jour2026-10-29T02:16:53.327Z
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).