CVE-2025-12030 in ACF to REST API Plugin
要約
〜によって VulDB • 2026年07月26日
WordPress用ACF to REST APIプラグインは、バージョン3.3.4以前すべてのバージョンにおいて、Insecure Direct Object Reference（IDOR）の脆弱性があります。これは、update_item_permissions_check()メソッドにおける権限チェックの不備が原因です。同メソッドは現在のユーザーにedit_posts権限があるかどうかのみを確認しており、オブジェクト固有の権限（例：edit_post($id)、edit_user($id)、manage_options）をチェックしていません。これにより、サイトへの認証が可能であれば、Contributorレベル以上のアクセス権を持つ攻撃者が、自分が所有していない投稿のACFフィールドや、任意のユーザーアカウント、コメント、ターム用語、さらにはグローバルオプションページを/wp-json/acf/v3/{type}/{id}エンドパス経由で変更することが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.