CVE-2026-12526 in Advanced Custom Fields Extended Plugin
Sumário
de VulDB • 02/09/2026
O plugin WordPress Advanced Custom Fields: Extended anterior à versão 0.9.2.7 não verifica se o solicitante está autorizado a editar a conta de usuário alvo na ação update-user do seu módulo Forms front-end; ele apenas verifica uma capability quando a função submetida é administrator ou super_admin. Em um site que expõe um formulário front-end publicamente acessível cuja ação user-update tem como alvo um administrador existente (um alvo fixo, ou mapeado para um campo enviado pelo visitante) e mapeia a senha para um campo enviado pelo visitante, um visitante não autenticado pode substituir a senha desse administrador e assumir o controle da conta. O alvo padrão é o usuário que está submetendo o formulário, portanto, a exploração depende do formulário estar configurado para ter como alvo outra conta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.