Advanced Custom Fields < 6.8.11 - Contributor+ Admin-Restricted Custom Field Update via Post Save Path

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Advanced Custom Fields (ACF®) WordPress plugin before 6.8.11 does not re-apply its field-group location rules when persisting values submitted through the post editor save path, allowing users with contributor-level access and above to write custom fields the site restricted to administrators onto their own posts.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/3eb847d4-6649-4f71-8dc7-e739a6317409 İstismar kodu ya da analiz

Kayıt geçmişi

1. 7 Kas 2026 21:20CVSS puanı değişti: – → 2.7
2. 7 Kas 2026 09:00Yayımlandı

İlgili açıklar

• 2,7 CVE-2026-97189Advanced Custom Fields < 6.8.11 - Contributor+ Unpublished Post Title and Status Disclosure via Relational Fields
• 2,7 CVE-2026-97190Advanced Custom Fields 6.2.0 - 6.8.10 - Contributor+ Relationship Field Update on Arbitrary Objects via IDOR
• 7,5 CVE-2026-110813Advanced Custom Fields (ACF) eklentisinde kimlik doğrulamasız depolanmış XSS açığı
• 6,5 CVE-2026-123603Hickory DNS Missing IPv4-Mapped IPv6 Canonicalization Access Control Bypass
• 7,3 CVE-2026-123991DataEase kimlik doğrulama filtresinde kısıtlanmamış dosya yükleme açığı
• 7,3 CVE-2026-123881OpenBMB Internet of Agents Message bileşeninde fetch_chat_record erişim denetimi zafiyeti