CVE-2026-2839
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.7 włącznie pozwala na nieautoryzowany dostęp do danych i wywoływanie akcji po stronie serwera z powodu wielu handlerów AJAX zarejestrowanych dla nieuwierzytelnionych użytkowników (wp_ajax_nopriv_*), które nie sprawdzają current_user_can(). Nonce acf_nonce są generowane dla gości i ujawniane w źródle strony, co pozwala nieuwierzytelnionym atakującym ujawnić tytuły postów i wewnętrzne struktury Flexible Content. Podatność została częściowo załatana w wersji 0.9.2.4.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do informacji o postach i struktur wewnętrznych, które powinny być ukryte. Może to ułatwić rozpoznanie i dalsze ataki na witrynę.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended do wersji nowszej niż 0.9.2.7 lub ją wyłącz, a następnie przejrzyj witrynę pod kątem ujawnionych nonce i nieautoryzowanych żądań AJAX.
Inne podatności w Advanced Custom Fields: Extended WordPress plugin
Zobacz wszystkie- CVE-2026-94267Krytyczne
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie wykonuje żadnej kontroli uprawnień podczas aktualizacji wpisu przez jedną z akcji formularzy front-endowych. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dowolne wpisy, w tym te przechowujące definicje pól, co prowadzi do wykonania dowolnego kodu na serwerze. Wymaga to opublikowania formularza, którego akcja aktualizacji wpisu mapuje zarówno cel, jak i treść na wartości przesyłane przez odwiedzającego.
- CVE-2026-94268Wysokie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz wersja PRO) przed 0.9.2.8 nie rozwiązuje spójnie celu akcji update-user w module formularzy front-endowych na etapie autoryzacji i wykonania. Umożliwia to nieuwierzytelnionym odwiedzającym obejście zabezpieczeń kont administratorów i przejęcie konta administratora witryny wraz z ważną sesją. Wymaga to opublikowania dwóch odrębnych konfiguracji formularzy, których cele są mapowane na wartości przesyłane przez odwiedzającego.
- CVE-2026-94264Średnie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.
- CVE-2026-94262Wysokie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji update-user modułu formularzy front-endowych, wykonując tę kontrolę tylko dla kont z rolą administratora. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dane logowania dowolnego konta niebędącego administratorem i uzyskać dla niego sesję. Wymaga to opublikowania formularza, którego akcja aktualizacji użytkownika mapuje cel na wartość przesyłaną przez odwiedzającego.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended plugin for WordPress is vulnerable to unauthorized access of data and triggering of server-side actions in all versions up to, and including, 0.9.2.7. This is due to multiple AJAX handlers registered for unauthenticated users (`wp_ajax_nopriv_*`) that fail to implement proper `current_user_can()` authorization checks. While these handlers use ACF's `acf_verify_ajax()` function to validate cryptographic nonces, the `acf_nonce` values are generated for guest users and publicly exposed in the page source of any frontend page utilizing an ACF form. This makes it possible for unauthenticated attackers to extract the guest nonce and bypass WordPress visibility permissions, leading to the unauthorized disclosure of post titles and internal Flexible Content layout structures. The vulnerability was partially patched in version 0.9.2.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS