CVE-2026-120534 Ejecución remota de código en Advanced Custom Fields: Extended PRO
El plugin Advanced Custom Fields: Extended PRO para WordPress es vulnerable a inyección de código limitada en todas las versiones hasta la 0.9.2.6 mediante la función render_field, por validación insuficiente de parámetros de configuración de formularios antes de pasarlos a call_user_func_array. Esto permite a atacantes no autenticados llamar funciones arbitrarias de WordPress con argumentos controlados. Un método requiere que el administrador habilite la opción no predeterminada 'shortcode_preview' para el…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 24
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ACF Extended Advanced Custom Fields: Extended PRO
hasta 0.9.2.6
Qué hacer
- Verificá si usás Advanced Custom Fields: Extended PRO y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The Advanced Custom Fields: Extended PRO plugin for WordPress is vulnerable to Limited Code Injection in all versions up to, and including, 0.9.2.6 via the render_field function. This is due to insufficient validation of form configuration parameters before merging into field settings and passing to call_user_func_array in the render_field method. This makes it possible for unauthenticated attackers to call arbitrary WordPress functions with controlled arguments. Method 1 requires the administrator to enable the non-default 'shortcode_preview' setting for the target form, while Method 2 requires the server environment to lack OpenSSL functions, causing ACF Pro's acf_decrypt to fall back to unverified base64 decoding.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.