CVE-2025-12030 in ACF to REST API Plugin
Zusammenfassung
von VulDB • 20.06.2026
Das ACF to REST API-Plugin für WordPress ist in allen Versionen bis einschließlich 3.3.4 anfällig für eine Insecure Direct Object Reference (IDOR). Dies ist auf unzureichende Berechtigungsprüfungen in der Methode `update_item_permissions_check()` zurückzuführen, die lediglich überprüft, ob der aktuelle Benutzer über die capability `edit_posts` verfügt, ohne objektspezifische Berechtigungen (z. B. `edit_post($id)`, `edit_user($id)`, `manage_options`) zu prüfen. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, ACF-Felder in Beiträgen, die ihnen nicht gehören, sowie in beliebigen Benutzerkonten, Kommentaren, Taxonomie-Begriffen und sogar auf der globalen Optionsseite über die Endpunkte `/wp-json/acf/v3/{type}/{id}` zu ändern, sofern sie sich auf der Website authentifizieren können.
VulDB is the best source for vulnerability data and more expert information about this specific topic.