CVE-2026-94264
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.
Ocena ryzyka
Możliwy jest atak XSS wymierzony w administratora, co może prowadzić do przejęcia sesji i dalszej kompromitacji witryny. Wymaga to interakcji ofiary z linkiem lub stroną.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended (i PRO) do wersji 0.9.2.8 lub nowszej. Przejrzyj użycie shortcode formularzy pod kątem atrybutów pochodzących z żądań użytkowników.
Inne podatności w Advanced Custom Fields: Extended WordPress plugin
Zobacz wszystkie- CVE-2026-94267Krytyczne
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie wykonuje żadnej kontroli uprawnień podczas aktualizacji wpisu przez jedną z akcji formularzy front-endowych. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dowolne wpisy, w tym te przechowujące definicje pól, co prowadzi do wykonania dowolnego kodu na serwerze. Wymaga to opublikowania formularza, którego akcja aktualizacji wpisu mapuje zarówno cel, jak i treść na wartości przesyłane przez odwiedzającego.
- CVE-2026-2839Średnie
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.7 włącznie pozwala na nieautoryzowany dostęp do danych i wywoływanie akcji po stronie serwera z powodu wielu handlerów AJAX zarejestrowanych dla nieuwierzytelnionych użytkowników (wp_ajax_nopriv_*), które nie sprawdzają current_user_can(). Nonce acf_nonce są generowane dla gości i ujawniane w źródle strony, co pozwala nieuwierzytelnionym atakującym ujawnić tytuły postów i wewnętrzne struktury Flexible Content. Podatność została częściowo załatana w wersji 0.9.2.4.
- CVE-2026-94268Wysokie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz wersja PRO) przed 0.9.2.8 nie rozwiązuje spójnie celu akcji update-user w module formularzy front-endowych na etapie autoryzacji i wykonania. Umożliwia to nieuwierzytelnionym odwiedzającym obejście zabezpieczeń kont administratorów i przejęcie konta administratora witryny wraz z ważną sesją. Wymaga to opublikowania dwóch odrębnych konfiguracji formularzy, których cele są mapowane na wartości przesyłane przez odwiedzającego.
- CVE-2026-94262Wysokie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji update-user modułu formularzy front-endowych, wykonując tę kontrolę tylko dla kont z rolą administratora. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dane logowania dowolnego konta niebędącego administratorem i uzyskać dla niego sesję. Wymaga to opublikowania formularza, którego akcja aktualizacji użytkownika mapuje cel na wartość przesyłaną przez odwiedzającego.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not validate or escape some of its form shortcode attributes, which can be pointed at values taken from the visitor's own request and are then output without escaping, allowing users with a role as low as contributor to have arbitrary script run in the browser of anyone led to open a crafted link or page, including a logged-in administrator. This is an incomplete fix for CVE-2023-5292, whose deny-list covers only the three HTML wrapper attributes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS