CVE-2026-12526
WysokieCVSS 8.1Streszczenie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.
Ocena ryzyka
Niezalogowany atakujący może przejąć konto administratora, jeśli formularz front-end jest skonfigurowany do aktualizacji innego konta, co prowadzi do pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended do wersji 0.9.2.7 lub nowszej. Sprawdź konfigurację formularzy front-end, aby upewnić się, że nie celują w konta administratorów.
Inne podatności w Advanced Custom Fields: Extended
Zobacz wszystkie- CVE-2026-80467Wysokie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.
- CVE-2026-8809Krytyczne
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.5 włącznie zawiera podatność na eskalację uprawnień poprzez ominięcie walidacji. Funkcja after_validate_save_post() bezwarunkowo ufa kontrolowanemu przez atakującego parametrowi _acf_post_id, co pozwala na wyciszenie błędów walidacji i utworzenie konta administratora.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.7 does not verify that the requester is authorized to edit the targeted user account in the update-user action of its front-end Forms module; it only checks a capability when the submitted role is administrator or super_admin. On a site that exposes a publicly reachable front-end form whose user-update action targets an existing administrator (a fixed target, or one mapped to a visitor-submitted field) and maps the password to a visitor-submitted field, an unauthenticated visitor can overwrite that administrator's password and take over the account. The default target is the submitting user, so exploitation depends on the form being configured to target another account.