→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-94268 · advanced-custom-fields-extended

دور زدن محافظ حساب مدیر و تصاحب نشست در افزونه Advanced Custom Fields: Extended

افزونه Advanced Custom Fields: Extended و نسخه PRO آن در نسخه‌های 0.9.2.8 و قبل از آن، هدف اقدام update-user را در ماژول فرم‌های فرانت‌اند بین مرحله بررسی مجوز و مرحله اجرای درخواست به‌صورت یکسان تعیین نمی‌کند. در نتیجه بازدیدکنندگان بدون احراز هویت می‌توانند محافظ حساب‌های مدیر را دور بزنند، حساب مدیر سایت را تصاحب کنند و یک نشست معتبر دریافت کنند؛ این سوءاستفاده تنها وقتی ممکن است که سایت دو پیکربندی فرم فرانت‌اند جداگانه منتشر کرده باشد که هدف آن‌ها به مقادیر ارسالی بازدیدکننده نگاشت شده باشد. تاکنون وصله رسمی منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به این فرم‌ها را با فایروال وب محدود نمایید.