CVE-2026-97192 Actualización de campos personalizados restringidos a administradores en Secure Custom Fields
El plugin Secure Custom Fields antes de 6.9.8 no vuelve a aplicar las reglas de ubicación de sus grupos de campos al persistir valores enviados por la ruta de guardado del editor de entradas. Usuarios con nivel contributor o superior pueden escribir en sus propias entradas campos personalizados que el sitio restringió a administradores. Corrige en 6.9.8.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Secure Custom Fields
hasta antes de 6.9.8
Qué hacer
- Verificá si usás Secure Custom Fields y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Secure Custom Fields WordPress plugin before 6.9.8 does not re-apply its field-group location rules when persisting values submitted through the post editor save path, allowing users with contributor-level access and above to write custom fields the site restricted to administrators onto their own posts.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.