CVE-2026-12995 in Custom Field Template Plugin
Résumé
par VulDB • 22/09/2026
Le plugin WordPress Custom Field Template est vulnérable à une référence directe d'objet non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 2.7.8 incluse, via le paramètre edit_meta_value en raison d'une validation manquante sur une clé contrôlée par l'utilisateur. Cela permet aux attaquants authentifiés disposant d'un accès de niveau contributeur ou supérieur de supprimer des pièces jointes multimédias arbitraires à l'échelle du site en fournissant n'importe quel ID de pièce jointe numérique dans le paramètre file-field, accompagné du drapeau de suppression correspondant, ce qui entraîne une perte de contenu et des pages corrompues. L'exploitation nécessite que la publication de l'attaquant soit régie par un modèle de champ personnalisé (Custom Field Template) contenant au moins un champ de type fichier avec l'option mediaRemove désactivée, ce qui correspond à la configuration par défaut pour les champs de fichiers.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.