CVE-2026-94268

Advanced Custom Fields: Extended 0.9.2.7 - Tạm Trả Tài Khoản Quản Trị Viên Không Xác Thực qua Hành Động Cập Nhật Người Dùng Phía Trước

Plugin Advanced Custom Fields: Extended cho WordPress trước 0.9.2.8 và Advanced Custom Fields: Extended PRO cho WordPress trước 0.9.2.8 không giải quyết mục tiêu của hành động update-user trong module Forms phía trước của nó một cách nhất quán giữa giai đoạn chấp thuận yêu cầu và giai đoạn thực hiện nó, điều này cho phép khách truy cập không xác thực vượt qua rào cản bảo vệ tài khoản quản trị viên, chiếm quyền quản trị viên của trang web và được cấp một phiên hợp lệ cho tài khoản đó. Khai thác yêu cầu trang web phải công bố hai cấu hình form phía trước riêng biệt mà mục tiêu được gắn kết với giá trị được khách hàng gửi.

Bạn tra cứu quá nhanh — thử lại sau 47 giây.

CVSS (NVD)

8.1 · HIGH

Loại lỗi (CWE)

CWE-269

EPSS (FIRST)

0.32% khả năng bị khai thác trong 30 ngày