CVE-2026-81344

ŚrednieCVSS 6.6

Opublikowano: 17/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress ACF Frontend Admin by DynamiApps w wersji do 3.29.13 nie ogranicza klas PHP, które mogą być instancjonowane podczas deserializacji przechowywanej treści postów renderowanej na stronach publicznych. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, wstrzyknięcie obiektu PHP, który przy odpowiednim łańcuchu POP w innej zainstalowanej wtyczce lub w jądrze WordPress może zostać wykorzystany do zdalnego wykonania kodu.

Ocena ryzyka

Atakujący z wysokimi uprawnieniami może doprowadzić do zdalnego wykonania kodu, co może skutkować pełnym przejęciem serwera i witryny.

Rekomendacja

Zaktualizuj wtyczkę ACF Frontend Admin by DynamiApps do wersji nowszej niż 3.29.13.

Inne podatności w ACF Frontend Admin by DynamiApps WordPress plugin

CVE-2026-81343Średnie
Wtyczka WordPress ACF Frontend Admin by DynamiApps w wersji do 3.29.13 nie wykonuje sprawdzenia uprawnień dla jednej ze swoich akcji przesyłania formularza przed zapisaniem przesłanych wartości do globalnego magazynu opcji ACF witryny. Umożliwia to nieuwierzytelnionym odwiedzającym nadpisanie wartości opcji w całej witrynie poprzez publiczny formularz.

Oryginalny opis (angielski, źródło NVD)

The ACF Frontend Admin by DynamiApps WordPress plugin through 3.29.13 does not restrict which PHP classes may be instantiated when it deserialises stored post content that is rendered on public-facing pages, allowing high-privilege users such as administrators to inject a PHP object which, given a suitable POP chain in another installed ACF Frontend Admin by DynamiApps WordPress plugin through 3.29.13 or in WordPress core, can be leveraged to achieve remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS