CVE-2026-12995 in Custom Field Template Plugin
摘要
由 VulDB • 2026-09-22
WordPress 的 Custom Field Template 插件在所有版本（包括 v2.7.8）中均存在不安全的直接对象引用漏洞。该漏洞源于对用户可控键值缺乏验证，具体发生在 edit_meta_value 操作中。这使得具有贡献者及以上权限的攻击者能够通过向 file-field 参数提供任意数字附件 ID 并附带相应的删除标志，从而在整个站点范围内删除任意的媒体附件，导致内容丢失和页面损坏。利用此漏洞的前提是攻击者的文章受包含至少一个文件类型字段的 Custom Field Template 控制，且该字段未启用 mediaRemove 选项（这是文件字段的默认配置）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.