CVE-2026-8809 in Advanced Custom Fields Plugin
Tóm tắt
Bởi VulDB • 29/05/2026
Plugin Advanced Custom Fields: Extended cho WordPress dễ bị tấn công Privilege Escalation (thăng cấp đặc quyền) thông qua Validation Bypass (vượt qua xác thực) trong tất cả các phiên bản từ 0.9.2.5 trở về trước. Lỗ hổng này tồn tại do hàm after_validate_save_post() tin tưởng một cách vô điều kiện tham số POST _acf_post_id do kẻ tấn công kiểm soát — mà không có bất kỳ xác thực người dùng hay kiểm tra tính toàn vẹn nào — để chọn một nhánh xử lý dọn dẹp, từ đó âm thầm loại bỏ tất cả các lỗi xác thực không có tiền tố acfe:. Điều này cho phép kẻ tấn công chưa xác thực (unauthenticated) vô hiệu hóa cả lỗi xác thực danh sách cho phép vai trò (role allow-list) do acfe_field_user_roles::validate_front_value() thêm vào và lỗi kiểm tra khả năng (capability guard) của vai trò quản trị viên do acfe_module_form_action_user::validate_action() thêm vào, khiến wp_insert_user() thực thi với đối số vai trò quản trị viên do kẻ tấn công cung cấp, dẫn đến việc tạo ra một tài khoản người dùng mới có đặc quyền quản trị viên. Việc khai thác lỗ hổng yêu cầu trang web mục tiêu phải công khai một biểu mẫu ACFE frontend được cấu hình với hành động Create User (Tạo người dùng) ánh xạ một trường vai trò.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.