CVE-2026-12526 in Advanced Custom Fields Extended Plugin
要約
〜によって VulDB • 2026年09月02日
Advanced Custom Fields: Extended WordPress プラグインのバージョン 0.9.2.7 より前では、フロントエンドの Forms モジュールにおける update-user アクションにおいて、リクエスト元が対象となるユーザーアカウントを編集する権限を持っているかどうかを検証しません。これは、送信されたロールが administrator または super_admin の場合のみ capability をチェックするというものです。公開アクセス可能なフロントエンドフォームがあり、その user-update アクションが存在する管理者（固定ターゲット、または訪問者が入力したフィールドにマッピングされたもの）を対象とし、パスワードを訪問者の入力フィールドにマッピングしているサイトでは、認証されていない訪問者は当該管理者のパスワードを上書きし、アカウントを乗っ取ることができます。デフォルトのターゲットは送信者自身であるため、攻撃が成立するにはフォームが別のアカウントを対象とするように構成されている必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.