CVE-2026-97193 Actualización de campos de relación sobre objetos arbitrarios en Secure Custom Fields
El plugin Secure Custom Fields antes de 6.9.8 no verifica que un usuario pueda editar el objeto destino antes de escribir en él durante la sincronización bidireccional de relaciones. Usuarios con nivel contributor o superior pueden agregar o quitar una referencia a su propio objeto en entradas, usuarios o términos arbitrarios que no pueden editar de otro modo. Corrige en 6.9.8.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Secure Custom Fields
hasta antes de 6.9.8
Qué hacer
- Verificá si usás Secure Custom Fields y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Secure Custom Fields WordPress plugin before 6.9.8 does not verify that a user is allowed to edit the target object before writing to it during bidirectional relationship synchronization, allowing users with contributor-level access and above to add or remove a reference to their own object on arbitrary posts, users, or terms they cannot otherwise edit.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.