CVE-2026-94267
NieznaneStreszczenie
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie wykonuje żadnej kontroli uprawnień podczas aktualizacji wpisu przez jedną z akcji formularzy front-endowych. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dowolne wpisy, w tym te przechowujące definicje pól, co prowadzi do wykonania dowolnego kodu na serwerze. Wymaga to opublikowania formularza, którego akcja aktualizacji wpisu mapuje zarówno cel, jak i treść na wartości przesyłane przez odwiedzającego.
Ocena ryzyka
Możliwe jest zdalne wykonanie kodu na serwerze i pełne przejęcie witryny przez nieuwierzytelnionego atakującego. Wymaga to jednak określonej konfiguracji formularza.
Rekomendacja
Zaktualizuj wtyczkę Advanced Custom Fields: Extended (i PRO) do wersji 0.9.2.8 lub nowszej. Sprawdź, czy formularze front-endowe nie mapują celu i treści aktualizacji wpisu na dane od użytkowników.
Inne podatności w Advanced Custom Fields: Extended WordPress plugin
Zobacz wszystkie- CVE-2026-94268Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz wersja PRO) przed 0.9.2.8 nie rozwiązuje spójnie celu akcji update-user w module formularzy front-endowych na etapie autoryzacji i wykonania. Umożliwia to nieuwierzytelnionym odwiedzającym obejście zabezpieczeń kont administratorów i przejęcie konta administratora witryny wraz z ważną sesją. Wymaga to opublikowania dwóch odrębnych konfiguracji formularzy, których cele są mapowane na wartości przesyłane przez odwiedzającego.
- CVE-2026-94264Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.
- CVE-2026-94262Nieznane
Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji update-user modułu formularzy front-endowych, wykonując tę kontrolę tylko dla kont z rolą administratora. Pozwala to nieuwierzytelnionym odwiedzającym nadpisać dane logowania dowolnego konta niebędącego administratorem i uzyskać dla niego sesję. Wymaga to opublikowania formularza, którego akcja aktualizacji użytkownika mapuje cel na wartość przesyłaną przez odwiedzającego.
Oryginalny opis (angielski, źródło NVD)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not perform any capability check when updating a post through one of its front-end form actions, allowing unauthenticated visitors to overwrite arbitrary posts, including the ones in which the site stores its own field definitions, which in turn leads to arbitrary code execution on the server. Exploitation requires the site to publish a form whose post-update action maps both its target and its content to visitor-submitted values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS