CVE-2026-120534

Nome do Software Vulnerável e Versões Afetadas Advanced Custom Fields: Extended PRO versões anteriores a 0.9.2.7

Descrição A validação insuficiente de parâmetros de configuração de formulário antes de serem mesclados nas configurações de campo e passados para a função call user func array dentro do método render field() permite que invasores não autenticados executem funções arbitrárias do WordPress com argumentos controlados. Isso pode levar ao controle total do site. A exploração pode ocorrer de duas maneiras: uma exigindo que o administrador habilite a configuração não padrão shortcode preview para o formulário alvo, e outra ocorrendo se o ambiente do servidor carecer de funções OpenSSL, forçando a função acf decrypt a usar a decodificação base64 não verificada.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.