CVE-2025-12030: airesvsg ACF to REST API, заобикаляне на вход и права

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: няма данни за експлоатация
Атаката не може да се автоматизира

Описание

Оригинално описание

The ACF to REST API plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.3.4. This is due to insufficient capability checks in the update_item_permissions_check() method, which only verifies that the current user has the edit_posts capability without checking object-specific permissions (e.g., edit_post($id), edit_user($id), manage_options). This makes it possible for authenticated attackers, with Contributor-level access and above, to modify ACF fields on posts they do not own, any user account, comments, taxonomy terms, and even the global options page via the /wp-json/acf/v3/{type}/{id} endpoints, granted they can authenticate to the site.

Засегнати продукти

airesvsg ACF to REST API: до 3.3.4

Вид слабост

CWE-639 Authorization Bypass Through User-Controlled Key

История

7 януари 2026 Публикувано

Други уязвимости в airesvsg ACF to REST API

5.3CVE-2025-62979

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в airesvsg ACF to REST API

Първоизточници