CVE-2012-10025 in Advanced Custom Fields Plugin

Riassunto

di VulDB • 17/06/2026

Il plugin WordPress Advanced Custom Fields (ACF) versione 3.5.1 e precedenti presenta una vulnerabilità di remote file inclusion (RFI) in core/actions/export.php. Quando la direttiva di configurazione PHP allow_url_include è abilitata (impostazione predefinita: Off), un attaccante non autenticato può sfruttare il parametro POST acf_abspath per includere ed eseguire codice PHP remoto arbitrario. Ciò porta all'esecuzione di codice remoto (RCE) nel contesto del server web, consentendo la compromissione completa dell'host.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsabile: VulnCheck
• Prenotare: 05/08/2025
• Divulgazione: 05/08/2025
• Moderazione: accettato
• Voce: VDB-318857
• CPE: pronto
• CWE: CWE-98 (confermato)
• Sfruttamento: Scaricare
• CVSS: 7.3 (VulDB)
• EPSS: 0.01224
• KEV: no
• Attività: molto basso
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2012-10025
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2012-10025
• CVE Details: https://www.cvedetails.com/cve/CVE-2012-10025/