CVE-2026-94262
NieznaneStreszczenie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji update-user modułu formularzy front-endowych, wykonując tę kontrolę tylko dla kont z rolą administratora. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dane logowania dowolnego konta niebędącego administratorem i uzyskać dla niego sesję. Wymaga to opublikowania formularza, którego akcja aktualizacji użytkownika mapuje cel na wartość przesyłaną przez odwiedzającego.
Ocena ryzyka
Atakujący może przejąć konta niebędące administratorami, np. redaktorów lub autorów, co może prowadzić do dalszej eskalacji uprawnień i modyfikacji treści. Wymaga to określonej konfiguracji formularza.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended (i PRO) do wersji 0.9.2.8 lub nowszej. Sprawdź, czy formularze front-endowe nie mapują celu aktualizacji użytkownika na dane od odwiedzających.
Inne podatności w Advanced Custom Fields: Extended WordPress plugin
Zobacz wszystkie- CVE-2026-94268Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz wersja PRO) przed 0.9.2.8 nie rozwiązuje spójnie celu akcji update-user w module formularzy front-endowych na etapie autoryzacji i wykonania. Umożliwia to nieuwierzytelnionym odwiedzającym obejście zabezpieczeń kont administratorów i przejęcie konta administratora witryny wraz z ważną sesją. Wymaga to opublikowania dwóch odrębnych konfiguracji formularzy, których cele są mapowane na wartości przesyłane przez odwiedzającego.
- CVE-2026-94267Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie wykonuje żadnej kontroli uprawnień podczas aktualizacji wpisu przez jedną z akcji formularzy front-endowych. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dowolne wpisy, w tym te przechowujące definicje pól, co prowadzi do wykonania dowolnego kodu na serwerze. Wymaga to opublikowania formularza, którego akcja aktualizacji wpisu mapuje zarówno cel, jak i treść na wartości przesyłane przez odwiedzającego.
- CVE-2026-94264Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not verify that the requester is authorised to edit the targeted user account in the update-user action of its front-end Forms module, performing that check only when the target account holds an administrator role, which allows unauthenticated visitors to overwrite any non-administrator account's credentials and obtain a session for that account. Exploitation requires the site to publish a form whose user-update action maps its target to a visitor-submitted value rather than to the default current user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS