PT-2026-56768
CVE-2026-12428
·
تاريخ النشر
2026-07-08
·
تاريخ التحديث
2026-07-09
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Blocks for ACF Fields، الإصدارات الأقدم من 1.6.3
الوصف
توجد مشكلة تتيح للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول من مستوى «المؤلف» (Author) أو أعلى الوصول غير المصرح به إلى البيانات. يحدث هذا لأن الدالة
get all values() في نقطة نهاية REST ’/wp-json/acf-field-blocks/v1/values‘ تفتقر إلى فحص مناسب للصلاحيات. في حين أن permission callback يتحقق من صلاحية publish posts، فإن المعالج يمرر معلمة id التي يقدمها المستخدم مباشرةً إلى get field objects() دون التأكد مما إذا كان المستخدم مخولًا بقراءة الكائن المستهدف. ونتيجة لذلك، يمكن للمهاجمين قراءة قيم حقول ACF من منشورات عشوائية، بما في ذلك المسودات والمنشورات الخاصة والمنشورات التي أنشأها مستخدمون آخرون.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.6.2.
قم بتقييد الوصول إلى نقطة نهاية REST ’/wp-json/acf-field-blocks/v1/values‘ لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾