CVE-2026-12526 in Advanced Custom Fields Extended Plugin
الملخص
بحسب VulDB • 02/09/2026
لا يتحقق الإضافة WordPress "Advanced Custom Fields: Extended" قبل الإصدار 0.9.2.7 من أن مقدم الطلب مخوّل بتعديل حساب المستخدم المستهدف في إجراء update-user الخاص بوحدة Forms الخاصة بالواجهة الأمامية؛ حيث تقوم فقط بفحص الصلاحية (capability) عندما تكون الدور المُقدَّم هو administrator أو super_admin. وعلى موقع يعرّض نموذج واجهة أمامية متاحًا للعامة، يستهدف إجراء تحديث المستخدم مستخدمًا موجودًا من نوع مدير (مستهدف ثابت، أو واحد مرتبط بحقل يُدخله الزائر)، ويربط حقل كلمة المرور بحقل آخر يُدخله الزائر؛ يمكن لزائر غير مُصادَق عليه استبدال كلمة مرور ذلك المدير والاستيلاء على الحساب. الهدف الافتراضي هو المستخدم الذي قدّم النموذج، لذا يعتمد الاستغلال على تكوين النموذج لاستهداف حساب آخر.
If you want to get best quality of vulnerability data, you may have to visit VulDB.