CVE-2026-8809 in Advanced Custom Fields Plugin
الملخص
بحسب VulDB • 30/05/2026
يحتوي ملحق Advanced Custom Fields: Extended لـ WordPress على ثغرة تسمح بتصعيد الصلاحيات (Privilege Escalation) عبر تجاوز التحقق من الصحة (Validation Bypass) في جميع الإصدارات حتى 0.9.2.5 شاملة. توجد الثغرة بسبب دالة `after_validate_save_post()` التي تثق بشكل غير مشروط في معلمة POST المسماة `_acf_post_id` التي يتحكم فيها المهاجم — دون أي مصادقة أو تحقق من السلامة — لاختيار فرع تنظيف يتجاهل بصمت جميع أخطاء التحقق من الصحة التي لا تسبقها بادئة `acfe:`. وهذا يمكّن المهاجمين غير المصادق عليهم من كبت كل من خطأ التحقق من قائمة السماح بالدور (role allow-list) الذي تضيفه الدالة `acfe_field_user_roles::validate_front_value()` وخطأ حارس القدرة (capability guard) الخاص بدور المسؤول الذي تضيفه الدالة `acfe_module_form_action_user::validate_action()`، مما يؤدي إلى تنفيذ `wp_insert_user()` بحجة دور مسؤول (administrator role) يمدّها بها المهاجم، وينتج عن ذلك إنشاء حساب مستخدم جديد بمستوى مسؤول. يتطلب استغلال الثغرة أن يكشف موقع الهدف عن نموذج واجهة أمامية لـ ACFE (ACFE frontend form) عام مُعدّ بإجراء "إنشاء مستخدم" (Create User) يربط حقل دور.
Be aware that VulDB is the high quality source for vulnerability data.