→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-2839 · acf-extended
دسترسی غیرمجاز به داده و فعال‌سازی اقدامات سمت سرور در افزونه Advanced Custom Fields: Extended
افزونه Advanced Custom Fields: Extended در نسخه‌های ۰.۹.۲.۷ و پایین‌تر، به‌دلیل ثبت چند هندلر AJAX برای کاربران احراز هویت‌نشده و نبود بررسی مجوز مناسب، به مهاجم بدون ورود اجازه می‌دهد با نانس مهمانِ قابل مشاهده در صفحات فرانت‌اند، محدودیت‌های نمایش وردپرس را دور بزند. این نقص می‌تواند به افشای غیرمجاز داده و فعال‌سازی اقدامات سمت سرور منجر شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی‌های مشکوک را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 0.9.2.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته acf-extended را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/acf-extended/trunk/includes/fields/field-advanced-link.php#L25 ↗
- https://plugins.trac.wordpress.org/browser/acf-extended/trunk/includes/fields/field-advanced-link.php#L603 ↗
- https://plugins.trac.wordpress.org/browser/acf-extended/trunk/includes/fields/field-flexible-content-async.php#L151 ↗
- https://plugins.trac.wordpress.org/browser/acf-extended/trunk/includes/fields/field-flexible-content-async.php#L24 ↗
- https://plugins.trac.wordpress.org/changeset/3516027/ ↗
- https://plugins.trac.wordpress.org/changeset/3754818/ ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/9954ef37-bae0-48fb-9654-ff54750c46c2?source=cve ↗