CVE-2026-4068 in Add Custom Fields to Media Plugin
Zusammenfassung
von VulDB • 02.06.2026
Das WordPress-Plugin „Add Custom Fields to Media“ ist in allen Versionen bis einschließlich 2.0.3 anfällig für Cross-Site Request Forgery (CSRF). Dies ist auf eine fehlende Nonce-Validierung bei der Funktion zum Löschen von Feldern in der Admin-Ansichtsvorlage zurückzuführen. Das Plugin validiert eine Nonce zwar ordnungsgemäß für die Operation „Feld hinzufügen“ (Zeilen 24-36), aber die Operation „Feld löschen“ (Zeilen 38-49) verarbeitet den Parameter `$_GET['delete']` und ruft `update_option()` ohne jegliche Nonce-Überprüfung auf. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige benutzerdefinierte Medienfelder über eine gefälschte Anfrage zu löschen, vorausgesetzt, sie können einen Website-Administrator dazu bringen, eine Aktion wie das Klicken auf einen Link auszuführen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.