CVE-2026-94267

Advanced Custom Fields: Extended < 0.9.2.8 - Unauthenticated RCE qua Hành động Cập nhật Bài viết trước Trang

Plugin Advanced Custom Fields: Extended cho WordPress trước 0.9.2.8 và Advanced Custom Fields: Extended PRO cho WordPress trước 0.9.2.8 không thực hiện bất kỳ kiểm tra khả năng nào khi cập nhật một bài viết thông qua một trong các hành động biểu mẫu trước trang của nó, cho phép khách truy cập không xác nhận thay đổi nội dung của các bài viết tùy ý, bao gồm cả những bài viết trong đó trang web lưu trữ định nghĩa của các trường của chính nó, điều này dẫn đến thực thi mã tùy ý trên máy chủ. Khai thác yêu cầu trang web phải công bố một biểu mẫu mà sau khi cập nhật bài viết, cả mục tiêu và nội dung của nó đều được liên kết với giá trị được cung cấp bởi người dùng.

CNA cấp mã

WPScan

Ngày công bố

23/10/2026

Cập nhật

23/10/2026

CVSS (NVD)

9 · CRITICAL

Loại lỗi (CWE)

CWE-94 Improper Control of Generation of Code ('Code Injection')

EPSS (FIRST)

0.39% khả năng bị khai thác trong 30 ngày