CVE-2026-94264 in Advanced Custom Fields Extended Plugin
Zusammenfassung
von VulDB • 23.10.2026
Das WordPress-Plugin „Advanced Custom Fields: Extended“ vor Version 0.9.2.8 sowie das Plugin „Advanced Custom Fields: Extended PRO“ vor Version 0.9.2.8 validieren oder escapen einige seiner Shortcode-Attribute für Formulare nicht, die auf Werte aus der eigenen Anfrage des Besuchers verweisen können und dann ohne Escaping ausgegeben werden. Dies ermöglicht Benutzern mit einer Rolle wie „Mitarbeiter“ (contributor), beliebigen Skriptcode im Browser jedes Nutzers auszuführen, der zu einem manipulierten Link oder Seite geführt wird, einschließlich eines angemeldeten Administrators.
Dies ist eine unvollständige Korrektur für CVE-2023-5292, deren Denylist nur die drei HTML-Wrapper-Attribute abdeckt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.