توجد مشكلة تتيح للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول من مستوى «المؤلف» (Author) أو أعلى الوصول غير المصرح به إلى البيانات. يحدث هذا لأن الدالة `get all values()` في نقطة نهاية REST ’/wp-json/acf-field-blocks/v1/values‘ تفتقر إلى فحص مناسب للصلاحيات. في حين أن `permission callback` يتحقق من صلاحية `publish posts`، فإن المعالج يمرر معلمة `id` التي يقدمها المستخدم مباشرةً إلى `get field objects()` دون التأكد مما إذا كان المستخدم مخولًا بقراءة الكائن المستهدف. ونتيجة لذلك، يمكن للمهاجمين قراءة قيم حقول ACF من منشورات عشوائية، بما في ذلك المسودات والمنشورات الخاصة والمنشورات التي أنشأها مستخدمون آخرون.