CVE-2026-12995 in Custom Field Template Plugin
要約
〜によって VulDB • 2026年09月22日
WordPress用プラグイン「Custom Field Template」は、2.7.8およびそれ以前の全バージョンにおいて、Insecure Direct Object Reference (IDOR) の脆弱性があります。これは、ユーザーが制御可能なキーに対する検証処理の欠如により、edit_meta_value を介して発生します。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、file-field パラメータに任意の数値形式のアタッチメント ID と対応する削除フラグを指定することで、サイト全体の任意のメディア添付ファイルを削除することが可能になります。その結果、コンテンツの消失やページが壊れるなどの被害が生じます。この脆弱性を悪用するには、攻撃者の投稿が少なくとも1つのファイル型フィールドを含み、かつ mediaRemove オプションが無効化されている（デフォルト設定）Custom Field Template によって管理されている必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.