CVE-2026-10752
Açıklama
WordPress için Advanced Custom Fields: Extended eklentisi, 0.9.2.6 sürümü dahil tüm önceki sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olduğunu düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, herhangi bir sahiplik veya yetenek doğrulaması olmaksızın form gönderiminde sayısal bir ek ID'si sağlayarak rastgele WordPress medya kitaplığı eklerini kalıcı olarak silmesini mümkün kılmaktadır. İstismar edilmesi için, bir site yöneticisinin; eki satırı, Sil seçeneği etkinleştirilmiş ve gönderilebilir bir alana bağlı dinamik bir {field:...} kaynağı kullanan bir E-posta işlemine sahip, dışa açık bir ACFE formu yapılandırmış olması gerekmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hwk-fr Advanced Custom Fields: Extended | v ≤ 0.9.2.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.