CVE-2026-120534
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-434
- KEV Durumu
- Hayır
Yayım tarihi: 3 Kasım 2026
Advanced Custom Fields: Extended PRO eklentisi, WordPress için, 0.9.2.6 sürümüne kadar olan tüm sürümlerde, render_field fonksiyonu aracılığıyla Sınırlı Kod Enjeksiyonuna karşı savunmasızdır. Bu, form yapılandırma parametrelerinin, render_field metodunda call_user_func_array'ye geçirilmeden önce alan ayarlarına birleştirilmeden önce yeterli ölçüde doğrulanmamasından kaynaklanmaktadır. Bu, kimlik doğrulamaları yapılmamış saldırganların, denetimli argümanlarla keyfi WordPress işlevlerini çağırmalarını mümkün kılmaktadır. Yöntem 1, yöneticinin hedef form için varsayılan olmayan 'shortcode_preview' ayarını etkinleştirmesini gerektirirken, Yöntem 2, sunucu ortamının OpenSSL işlevlerinden yoksun olmasını gerektirir, bu da ACF Pro'nun acf_decrypt'nin doğrulanmamış base64 çözme işlemini gerçekleştirmesine neden olur.
Orijinal açıklama (İngilizce)
The Advanced Custom Fields: Extended PRO plugin for WordPress is vulnerable to Limited Code Injection in all versions up to, and including, 0.9.2.6 via the render_field function. This is due to insufficient validation of form configuration parameters before merging into field settings and passing to call_user_func_array in the render_field method. This makes it possible for unauthenticated attackers to call arbitrary WordPress functions with controlled arguments. Method 1 requires the administrator to enable the non-default 'shortcode_preview' setting for the target form, while Method 2 requires the server environment to lack OpenSSL functions, causing ACF Pro's acf_decrypt to fall back to unverified base64 decoding.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.