CVE-2026-12526
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.
Ocena ryzyka
Niezalogowany atakujący może przejąć konto administratora, jeśli formularz front-end jest skonfigurowany do aktualizacji innego konta, co prowadzi do pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended do wersji 0.9.2.7 lub nowszej. Sprawdź konfigurację formularzy front-end, aby upewnić się, że nie celują w konta administratorów.
Inne podatności w Advanced Custom Fields: Extended
Zobacz wszystkie- CVE-2026-94263Średnie
Wtyczki WordPress Advanced Custom Fields: Extended oraz Advanced Custom Fields: Extended PRO w wersjach od 0.9.2.4 do 0.9.2.7 nie wyłączają konsekwentnie przetwarzania shortcode'ów w komunikacie potwierdzenia formularzy front-endowych. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów po stronie serwera podczas wysyłania formularza, którego zapisana konfiguracja nie zawiera odpowiedniego ustawienia.
- CVE-2026-8809Krytyczne
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.5 włącznie zawiera podatność na eskalację uprawnień poprzez ominięcie walidacji. Funkcja after_validate_save_post() bezwarunkowo ufa kontrolowanemu przez atakującego parametrowi _acf_post_id, co pozwala na wyciszenie błędów walidacji i utworzenie konta administratora.
- CVE-2026-110305Wysokie
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.7 włącznie jest podatna na ujawnienie poufnych informacji. Nieuwierzytelniony atakujący może wyodrębnić hash hasła WordPressa dowolnego użytkownika, wstrzykując tag szablonu {get_user}, który jest rozwiązywany i zapisywany jako publicznie czytelna nazwa terminu. Wymaga to skonfigurowania publicznej strony z shortcode [acfe_form] z akcją Term i mapowaniem save.name.
- CVE-2026-10752Średnie
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Nieuwierzytelnieni atakujący mogą trwale usuwać dowolne załączniki biblioteki mediów WordPressa, podając numeryczne ID załącznika w formularzu bez weryfikacji własności lub uprawnień.
- CVE-2026-80467Wysokie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.
- CVE-2025-15463Średnie
Wtyczka Advanced Custom Fields: Extended dla WordPressa do wersji 0.9.2.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.7 does not verify that the requester is authorized to edit the targeted user account in the update-user action of its front-end Forms module; it only checks a capability when the submitted role is administrator or super_admin. On a site that exposes a publicly reachable front-end form whose user-update action targets an existing administrator (a fixed target, or one mapped to a visitor-submitted field) and maps the password to a visitor-submitted field, an unauthenticated visitor can overwrite that administrator's password and take over the account. The default target is the submitting user, so exploitation depends on the form being configured to target another account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS