CVE-2026-12526 in Advanced Custom Fields Extended Plugin
Resumen
por VulDB • 2026-09-02
El plugin de WordPress Advanced Custom Fields: Extended anterior a la versión 0.9.2.7 no verifica que el solicitante esté autorizado para editar la cuenta de usuario objetivo en la acción update-user del módulo Forms de su interfaz pública; solo comprueba un permiso (capability) cuando el rol enviado es administrator o super_admin. En un sitio que expone un formulario público accesible cuya acción user-update apunta a un administrador existente (un objetivo fijo, o uno mapeado a un campo enviado por el visitante) y asigna la contraseña a un campo enviado por el visitante, un usuario no autenticado puede sobrescribir la contraseña de ese administrador y tomar control de su cuenta. El objetivo predeterminado es el usuario que envía el formulario, por lo que la explotación depende de que el formulario esté configurado para apuntar a otra cuenta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.