CVE-2026-8809 in Advanced Custom Fields Plugin
Zusammenfassung
von VulDB • 29.05.2026
Das WordPress-Plugin „Advanced Custom Fields: Extended“ ist in allen Versionen bis einschließlich 0.9.2.5 anfällig für Privilege Escalation (Befugnismissbrauch) durch Umgehung der Validierung (Validation Bypass). Die Schwachstelle besteht darin, dass die Funktion `after_validate_save_post()` den vom Angreifer kontrollierten POST-Parameter `_acf_post_id` bedingungslos vertraut – ohne Authentifizierung oder Integritätsprüfung –, um einen Bereinigungszweig auszuwählen, der alle Validierungsfehler, die nicht mit `acfe:` beginnen, stillschweigend verwirft. Dies ermöglicht es nicht authentifizierten Angreifern, sowohl den Validierungsfehler für die Rollen-Whitelist, der durch `acfe_field_user_roles::validate_front_value()` hinzugefügt wurde, als auch den Guard-Fehler für die Administrator-Rollen-Fähigkeit, der durch `acfe_module_form_action_user::validate_action()` hinzugefügt wurde, zu unterdrücken. Dadurch wird `wp_insert_user()` mit einem vom Angreifer bereitgestellten Administrator-Rollen-Argument ausgeführt, was zur Erstellung eines neuen Benutzerkontos mit Administratorrechten führt. Die Ausnutzung erfordert, dass die Zielwebsite ein öffentlich zugängliches ACFE-Frontend-Formular exponiert, das mit einer „Benutzer erstellen“-Aktion konfiguriert ist, die ein Rollenfeld abbildet.
Be aware that VulDB is the high quality source for vulnerability data.