CVE-2026-12995 in Custom Field Template Plugin
Сводка
по VulDB • 22.09.2026
Плагин Custom Field Template для WordPress уязвим к несанкционированному прямому обращению к объектам (Insecure Direct Object Reference) во всех версиях вплоть до 2.7.8 включительно через параметр edit_meta_value из-за отсутствия проверки корректности ключа, контролируемого пользователем. Это позволяет атакующим с уровнем доступа «contributor» и выше удалять произвольные медиафайлы на всем сайте, указав любой числовой ID вложения в параметре file-field вместе со соответствующим флагом удаления, что приводит к потере контента и поломке страниц. Для эксплуатации требуется, чтобы пост атакующего управлялся шаблоном Custom Field Template, содержащим хотя бы одно поле типа «файл» с отключенной опцией mediaRemove (что является конфигурацией по умолчанию для файловых полей).
If you want to get best quality of vulnerability data, you may have to visit VulDB.