CVE-2025-15463

Wtyczki WordPress Advanced Custom Fields: Extended oraz Advanced Custom Fields: Extended PRO w wersjach od 0.9.2.4 do 0.9.2.7 nie wyłączają konsekwentnie przetwarzania shortcode'ów w komunikacie potwierdzenia formularzy front-endowych. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów po stronie serwera podczas wysyłania formularza, którego zapisana konfiguracja nie zawiera odpowiedniego ustawienia.

Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.5 włącznie zawiera podatność na eskalację uprawnień poprzez ominięcie walidacji. Funkcja after_validate_save_post() bezwarunkowo ufa kontrolowanemu przez atakującego parametrowi _acf_post_id, co pozwala na wyciszenie błędów walidacji i utworzenie konta administratora.

Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.7 włącznie jest podatna na ujawnienie poufnych informacji. Nieuwierzytelniony atakujący może wyodrębnić hash hasła WordPressa dowolnego użytkownika, wstrzykując tag szablonu {get_user}, który jest rozwiązywany i zapisywany jako publicznie czytelna nazwa terminu. Wymaga to skonfigurowania publicznej strony z shortcode [acfe_form] z akcją Term i mapowaniem save.name.

Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Nieuwierzytelnieni atakujący mogą trwale usuwać dowolne załączniki biblioteki mediów WordPressa, podając numeryczne ID załącznika w formularzu bez weryfikacji własności lub uprawnień.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.