CVE-2026-80467
WysokieCVSS 8.1Streszczenie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać pełną kontrolę nad witryną WordPress, co prowadzi do przejęcia strony, kradzieży danych lub zainstalowania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended do wersji 0.9.2.7 lub nowszej. Dodatkowo sprawdź, czy nie utworzono nieautoryzowanych kont administratorów.
Inne podatności w Advanced Custom Fields: Extended
Zobacz wszystkie- CVE-2026-12526Wysokie
Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.
- CVE-2026-8809Krytyczne
Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.5 włącznie zawiera podatność na eskalację uprawnień poprzez ominięcie walidacji. Funkcja after_validate_save_post() bezwarunkowo ufa kontrolowanemu przez atakującego parametrowi _acf_post_id, co pozwala na wyciszenie błędów walidacji i utworzenie konta administratora.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.7 does not restrict the role submitted through its front-end user forms to the roles the form actually offers, and its safeguard against privileged roles is incomplete, allowing unauthenticated visitors to register an account with elevated capabilities and then escalate it to administrator.