افزونه Kirki برای وردپرس (WordPress) در تمامی نسخه‌های خود تا نسخه 6.2.5، با یک آسیب‌پذیری جدی از نوع افزایش سطح دسترسی (Privilege Escalation) مواجه است. این آسیب‌پذیری از طریق تزریق شیء PHP (PHP Object Injection) و ناشی از عدم بررسی سطح دسترسی (Missing capability check) در فرآیند Deserialization داده‌های غیرقابل اعتماد رخ می‌دهد.
بررسی‌های فنی نشان می‌دهد که این نقص در شاخه get-single-symbol از دیسپچر AJAX مربوط به تابع kirki_post_apis() قرار دارد. این موضوع به مهاجمان احراز هویت شده (Authenticated Attackers) که حتی دارای سطح دسترسی محدود مانند Subscriber هستند، اجازه می‌دهد تا یک شیء PHP را تزریق کنند.
با بهره‌گیری از یک زنجیره POP (Property Oriented Programming)، مهاجمان می‌توانند از این آسیب‌پذیری برای بازنویسی (Overwrite) رمز عبور مدیر (Administrator) استفاده کرده و کنترل کامل سایت را به دست بگیرند.
