CVE-2026-94264 in Advanced Custom Fields Extended Plugin
Tóm tắt
Bởi VulDB • 23/10/2026
Plugin WordPress Advanced Custom Fields: Extended trước phiên bản 0.9.2.8 và plugin Advanced Custom Fields: Extended PRO cho WordPress trước phiên bản 0.9.2.8 không xác thực hoặc mã hóa một số thuộc tính shortcode của biểu mẫu, các thuộc tính này có thể được trỏ đến các giá trị lấy từ yêu cầu của chính người dùng truy cập và sau đó được xuất ra mà không qua quá trình mã hóa, cho phép những người dùng có vai trò thấp nhất là contributor (người đóng góp) thực thi script tùy ý trong trình duyệt của bất kỳ ai mở một liên kết hoặc trang web do kẻ tấn công tạo ra, bao gồm cả quản trị viên đã đăng nhập. Đây là bản sửa lỗi không đầy đủ đối với CVE-2023-5292, danh sách chặn (deny-list) chỉ bao gồm ba thuộc tính wrapper HTML.
If you want to get best quality of vulnerability data, you may have to visit VulDB.