Advanced Custom Fields 6.2.0 - 6.8.10 - Contributor+ Relationship Field Update on Arbitrary Objects via IDOR

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Advanced Custom Fields (ACF®) WordPress plugin before 6.8.11 does not verify that a user is allowed to edit the target object before writing to it during bidirectional relationship synchronization, allowing users with contributor-level access and above to add or remove a reference to their own object on arbitrary posts, users, or terms they cannot otherwise edit.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/9e35af14-3981-4751-a08a-98431c1ac9cf İstismar kodu ya da analiz

Kayıt geçmişi

1. 7 Kas 2026 21:20CVSS puanı değişti: – → 2.7
2. 7 Kas 2026 09:00Yayımlandı

İlgili açıklar

• 2,7 CVE-2026-97189Advanced Custom Fields < 6.8.11 - Contributor+ Unpublished Post Title and Status Disclosure via Relational Fields
• 2,7 CVE-2026-97191Advanced Custom Fields < 6.8.11 - Contributor+ Admin-Restricted Custom Field Update via Post Save Path
• 7,5 CVE-2026-110813Advanced Custom Fields (ACF) eklentisinde kimlik doğrulamasız depolanmış XSS açığı
• 7,1 CVE-2026-123522Vikunja'da Kanban kovası taşıma webhook'u üzerinden görev bilgisi ifşası
• 4,3 CVE-2026-123518Vikunja before 2.7.1 Missing Authorization in Kanban Task-Bucket Move
• 5,4 CVE-2026-123503Vikunja before 2.7.1 Improper Authorization in Kanban Bucket Deletion