Résumé
généré automatiquement à partir des données NVDLe plugin WordPress Advanced Custom Fields: Extended PRO, dans toutes les versions jusqu'à 0.9.2.6 incluse, souffre d'une injection de code limitée via la fonction render_field. Les paramètres de configuration du formulaire sont insuffisamment validés avant d'être fusionnés dans les réglages du champ puis transmis à call_user_func_array, ce qui permet à un attaquant non authentifié d'appeler des fonctions WordPress arbitraires avec des arguments contrôlés. L'exploitation exige soit le réglage non par défaut 'shortcode_preview' activé, soit un serveur sans fonctions OpenSSL. Score CVSS 9.8 (critique).
Description NVD (anglais)
The Advanced Custom Fields: Extended PRO plugin for WordPress is vulnerable to Limited Code Injection in all versions up to, and including, 0.9.2.6 via the render_field function. This is due to insufficient validation of form configuration parameters before merging into field settings and passing to call_user_func_array in the render_field method. This makes it possible for unauthenticated attackers to call arbitrary WordPress functions with controlled arguments. Method 1 requires the administrator to enable the non-default 'shortcode_preview' setting for the target form, while Method 2 requires the server environment to lack OpenSSL functions, causing ACF Pro's acf_decrypt to fall back to unverified base64 decoding.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 3 nov. 2026
- Mis à jour
- 3 nov. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-434
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.