CVE-2026-12428

Nome do Software Vulnerável e Versões Afetadas Blocks for ACF Fields versões anteriores a 1.6.3

Descrição Existe um problema onde usuários autenticados com nível de acesso de Autor ou superior podem obter acesso não autorizado a dados. Isso ocorre porque a função get all values() no endpoint REST '/wp-json/acf-field-blocks/v1/values' carece de uma verificação de capacidade adequada. Embora o permission callback verifique a capacidade publish posts, o manipulador passa um parâmetro id fornecido pelo usuário diretamente para get field objects() sem confirmar se o usuário está autorizado a ler o objeto de destino. Consequentemente, invasores podem ler valores de campos ACF de postagens arbitrárias, incluindo rascunhos, postagens privadas e postagens criadas por outros usuários.

Recomendações Atualize para uma versão posterior à 1.6.2. Restrinja o acesso ao endpoint REST '/wp-json/acf-field-blocks/v1/values' para minimizar o risco de exploração.