PT-2026-136006
CVE-2026-120534
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Advanced Custom Fields: Extended PRO الإصدارات السابقة لـ 0.9.2.7
الوصف
يؤدي عدم التحقق الكافي من معلمات تكوين النموذج قبل دمجها في إعدادات الحقل وتمريرها إلى دالة
call user func array ضمن طريقة render field() إلى تمكين المهاجمين غير المصرح لهم من استدعاء دوال WordPress عشوائية بوسطاء يتم التحكم فيها. يمكن أن يؤدي ذلك إلى السيطرة الكاملة على الموقع. يمكن أن يتم الاستغلال عبر طريقتين: تتطلب الأولى قيام المسؤول بتفعيل إعداد shortcode preview غير الافتراضي للنموذج المستهدف، وتحدث الثانية إذا كانت بيئة الخادم تفتقر إلى دوال OpenSSL، مما يجبر دالة acf decrypt على استخدام فك ترميز base64 غير متحقق منه.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾