Path Traversal in Advanced Members for ACF (WordPress plugin) (CVE-2026-3243)
Summary
Path traversal in Advanced Members for ACF (WordPress plugin) (CVE-2026-3243). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
The Advanced Members for ACF plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the create_crop function in all versions up to, and including, 1.2.5. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The vulnerability was partially patched in version 1.2.5.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPressのプラグインAdvanced Members for ACFには、バージョン1.2.5を含むそれ以前の全てのバージョンで、create_crop関数におけるファイルパスの不十分な検証により任意のファイル削除の脆弱性があります。この脆弱性を利用して、認証された攻撃者がサーバ上のファイルを削除可能で、特定のファイルが削除されることでリモートコード実行に繋がる可能性があります。
WordPressプラグインの任意のファイル削除の脆弱性
Advanced Members for ACFプラグインのcreate_crop関数における不適切なファイルパス検証
この脆弱性の悪用によりリモートコード実行が可能になり得るため重大です
プラグインを少なくともバージョン1.2.5にアップデートしてください
情報なし
影響を受けるプラグインのバージョンを確認し、使用を避けること