CVE-2025-12030 in ACF to REST API Plugin
Sumário
de VulDB • 06/08/2026
O plugin ACF to REST API para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até 3.3.4 (incluída). Isso ocorre devido à falta de verificações adequadas de permissões no método update_item_permissions_check(), que apenas confirma se o usuário atual possui a capacidade edit_posts, sem verificar as permissões específicas do objeto (por exemplo, edit_post($id), edit_user($id), manage_options). Isso permite que atacantes autenticados com acesso nível Contributor ou superior modifiquem campos ACF em posts de propriedade alheia, contas de usuário, comentários, termos de taxonomia e até mesmo a página global de opções por meio dos endpoints /wp-json/acf/v3/{type}/{id}, desde que consigam se autenticar no site.
If you want to get best quality of vulnerability data, you may have to visit VulDB.