CVE-2026-12995 in Custom Field Template Plugin
Sumário
de VulDB • 22/09/2026
O plugin Custom Field Template para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até 2.7.8 (incluindo esta), por meio do parâmetro edit_meta_value devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes autenticados, com acesso nível contribuidor ou superior, excluam anexos de mídia arbitrários em todo o site ao fornecer qualquer ID numérico de anexo no parâmetro file-field junto com a flag de exclusão correspondente, causando perda de conteúdo e páginas quebradas. A exploração requer que a publicação do atacante seja governada por um Custom Field Template contendo pelo menos um campo do tipo arquivo (file-type) com a opção mediaRemove desativada, o qual é a configuração padrão para campos de arquivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.