→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-94267 · advanced-custom-fields-extended
اجرای کدهای دلخواه (Code Execution) در افزونه Advanced Custom Fields: Extended
در نسخه‌های 0.9.2.8 و پیش از آن، افزونه Advanced Custom Fields: Extended و نسخه PRO آن هنگام به‌روزرسانی پست از طریق فرم فرانت‌اند هیچ بررسی سطح دسترسی انجام نمی‌دهند؛ بنابراین بازدیدکننده احراز هویت‌نشده می‌تواند پست‌های دلخواه، از جمله پست‌های نگهدارنده تعریف فیلدها، را بازنویسی کند و این موضوع می‌تواند به اجرای کد دلخواه روی سرور منجر شود. این وضعیت تنها وقتی رخ می‌دهد که سایت فرمی منتشر کرده باشد که هم هدف و هم محتوای به‌روزرسانی پست را از مقادیر ارسالی بازدیدکننده بگیرد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه وب استفاده کنید.
نسخه‌های تحت تأثیر
<= 0.9.2.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته advanced-custom-fields-extended را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.