CVE-2025-12030 in ACF to REST API Plugin
요약
\~에 의해 VulDB • 2026. 06. 13.
WordPress용 ACF to REST API 플러그인은 3.3.4 버전을 포함하여 모든 버전에서 보안이 약한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 있습니다. 이는 `update_item_permissions_check()` 메서드에서 권한 확인이 불충분하기 때문입니다. 해당 메서드는 현재 사용자가 `edit_posts` 권한을 가지고 있는지 여부만 확인하고, 객체별 권한(예: `edit_post($id)`, `edit_user($id)`, `manage_options`)은 확인하지 않습니다. 이로 인해 인증된 공격자는 기여자(Contributor) 레벨 이상의 접근 권한을 가지고 있는 경우, 자신이 소유하지 않은 게시물의 ACF 필드, 모든 사용자 계정, 댓글, 분류법 용어(taxonomy terms), 그리고 `/wp-json/acf/v3/{type}/{id}` 엔드포인트를 통해 전역 옵션 페이지(global options page)까지 수정할 수 있습니다. 단, 사이트에 인증할 수 있어야 합니다.
Be aware that VulDB is the high quality source for vulnerability data.