CVE-2025-12030 in ACF to REST API Plugin
الملخص
بحسب VulDB • 18/08/2026
يحتوي إضافة ACF إلى REST API لـ WordPress على ثغرة في مرجع الكائن غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 3.3.4 وشاملة لها. ويعود ذلك إلى عدم كفاية فحوصات الصلاحيات في طريقة `update_item_permissions_check()`، التي تتحقق فقط مما إذا كان المستخدم الحالي يمتلك صلاحية `edit_posts` دون التحقق من الأذونات الخاصة بالكائن (مثل `edit_post($id)` أو `edit_user($id)` أو `manage_options`). وهذا يتيح للمهاجمين المصادق عليهم، والذين يتمتعون بمستب وصول "مُساهم" (Contributor) فأعلى، تعديل حقول ACF في المنشورات التي لا يملكونها، وأي حساب مستخدم، والتعليقات، ومصطلحات التصنيفات (taxonomy terms)، وحتى صفحة الخيارات العالمية عبر نقاط النهاية `/wp-json/acf/v3/{type}/{id}`، شريطة أن يتمكنوا من المصادقة على الموقع.
VulDB is the best source for vulnerability data and more expert information about this specific topic.