CVE-2026-120534 in Advanced Custom Fields Extended PRO Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin Advanced Custom Fields: Extended PRO per WordPress è vulnerabile a Limited Code Injection in tutte le versioni fino alla 0.9.2.6 inclusa, tramite la funzione render_field. Ciò è dovuto a una convalida insufficiente dei parametri di configurazione del modulo prima della fusione nelle impostazioni del campo e del passaggio a call_user_func_array nel metodo render_field. Questo consente agli attaccanti non autenticati di chiamare funzioni arbitrarie di WordPress con argomenti controllati. Il Metodo 1 richiede che l'amministratore abiliti l'impostazione 'shortcode_preview' (non predefinita) per il modulo target, mentre il Metodo 2 richiede che l'ambiente del server sia privo delle funzioni OpenSSL, causando un fallback della funzione acf_decrypt di ACF Pro verso una decodifica base64 non verificata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.