Advanced Custom Fields < 6.8.11 - Contributor+ Unpublished Post Title and Status Disclosure via Relational Fields

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Advanced Custom Fields (ACF®) WordPress plugin before 6.8.11 does not perform a read-permission check when it renders and formats the values of its relational fields, allowing users with post-editing access (Contributor and above) to disclose the titles and non-public statuses of other users' unpublished posts.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/694a3ef1-a4b8-41fc-9630-134d549b4176 İstismar kodu ya da analiz

Kayıt geçmişi

1. 7 Kas 2026 21:20CVSS puanı değişti: – → 2.7
2. 7 Kas 2026 09:00Yayımlandı

İlgili açıklar

• 2,7 CVE-2026-97190Advanced Custom Fields 6.2.0 - 6.8.10 - Contributor+ Relationship Field Update on Arbitrary Objects via IDOR
• 2,7 CVE-2026-97191Advanced Custom Fields < 6.8.11 - Contributor+ Admin-Restricted Custom Field Update via Post Save Path
• 7,5 CVE-2026-110813Advanced Custom Fields (ACF) eklentisinde kimlik doğrulamasız depolanmış XSS açığı
• 4,3 CVE-2026-123504Vikunja 0.22.0 before 2.7.1 Webhook URL Credential Exposure to Read-Only Members
• 4,3 CVE-2026-118801aBlocks <= 2.18.0 - Authenticated (Contributor+) Sensitive Information Exposure in 'ablocks_template' Shortcode
• 5,3 CVE-2026-93370Paystack WooCommerce Payment Gateway <= 5.8.5 - Unauthenticated Sensitive Information Exposure in 'key' Parameter on order-pay Endpoint