CVE-2026-57687

Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.

Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.

Custom Field Template do wersji 2.7.7 zawiera podatność na ataki typu Stored XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu trwałe wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce innych użytkowników.

Podatność polegająca na ujawnieniu wrażliwych informacji systemowych w wtyczce Custom Field Template autorstwa Hiroakiego Miyashity umożliwia odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 2.7.6 włącznie.