Kirki 6.2.5以前にPHPオブジェクトインジェクション（CVSS 8.8）。購読者以上の権限で特定条件下に管理者パスワードが変更される可能性。最新版へ更新。
30秒でわかる / THE SIGNAL
Kirki 6.2.5以前にPHPオブジェクトインジェクション（CVSS 8.8）。購読者以上の権限で特定条件下に管理者パスワードが変更される可能性。最新版へ更新。
影響と攻撃条件
WordPressプラグインKirkiの6.2.5以前には、kirki_post_apis()のAJAX処理で権限確認が不足し、信頼できないデータのデシリアライズに起因するPHPオブジェクトインジェクションがある。購読者以上のログイン済み攻撃者が対象で、利用可能なPOPチェーンがある場合、管理者パスワードを変更できる可能性がある。認証不要の攻撃と誤解してはいけない。CVSS v3.1は8.8。
対策と悪用状況
プラグインを修正済み最新版へ更新する。管理者アカウントのパスワード変更や不審なログイン履歴を点検する。公開勧告から実環境での悪用は確認できない。一次情報：https://github.com/advisories/GHSA-ppv3-rhmr-8mqr
WORK SIGNALの視点
テーマのカスタマイズを支えるプラグインでも、低権限ユーザーを起点に管理者権限へ影響する可能性がある。WordPress本体だけでなく導入済みプラグインの更新状況を管理したい。