→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-94262 · advanced-custom-fields-extended

نقص کنترل دسترسی و تصاحب حساب کاربری در افزونه Advanced Custom Fields: Extended

افزونه Advanced Custom Fields: Extended و نسخه PRO آن، در نسخه‌های ۰.۹.۲.۸ و قبل از آن، در اکشن به‌روزرسانی کاربر ماژول فرم‌های سمت بازدیدکننده بررسی نمی‌کند که درخواست‌دهنده مجاز به ویرایش حساب هدف است و این کنترل را تنها زمانی انجام می‌دهد که حساب هدف نقش مدیر داشته باشد. در نتیجه بازدیدکننده احراز هویت‌نشده، اگر سایت فرمی منتشر کرده باشد که هدف به‌روزرسانی کاربر را به‌جای کاربر جاری به مقدار ارسالی بازدیدکننده نگاشت کند، می‌تواند اطلاعات ورود هر حساب غیرادمین را بازنویسی کرده و برای آن حساب نشست به‌دست آورد. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا این قابلیت را با فایروال وب محدود سازید.