ACF Extendedに認証不要でコード実行の欠陥 0.9.2.8で修正
Summary
WordPress用プラグイン「Advanced Custom Fields: Extended」(PRO版を含む)に、ログインなしの訪問者が任意の投稿を書き換え、最終的にサーバー上でコードを実行できてしまう欠陥が見つかりました。0.9.2.8より前の版が対象で、ただし影響を受けるのは特定の設定のフォームを公開しているサイトです。0.9.2.8以降へ更新し、あわせてフォームの設定を点検してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPress用プラグイン「Advanced Custom Fields: Extended」(PRO版を含む)に、ログインなしの訪問者が任意の投稿を書き換え、最終的にサーバー上でコードを実行できてしまう欠陥が見つかりました。0.9.2.8より前の版が対象で、ただし影響を受けるのは特定の設定のフォームを公開しているサイトです。0.9.2.8以降へ更新し、あわせてフォームの設定を点検してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| CVE | Advanced Custom Fields: Extended |
< 0.9.2.8 |
0.9.2.8 |
| CVE | Advanced Custom Fields: Extended PRO |
< 0.9.2.8 |
0.9.2.8 |
Original description The description as published by the source.
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not perform any capability check when updating a post through one of its front-end form actions, allowing unauthenticated visitors to overwrite arbitrary posts, including the ones in which the site stores its own field definitions, which in turn leads to arbitrary code execution on the server. Exploitation requires the site to publish a form whose post-update action maps both its target and its content to visitor-submitted values.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com