Advanced Custom Fields: Extended – chybějící kontrola oprávnění umožňující neoprávněný přístup k informacím

Patchstack zveřejnil závažnou zranitelnost typu Missing Authorization (CWE-862) v pluginu ACF Extended.

Plugin rozšiřuje možnosti Advanced Custom Fields a využívá jej více než 100 000 WordPress instalací.

Zranitelnost je podle zveřejněného CVSS vektoru zneužitelná bez autentizace.

Příčinou je nedostatečná kontrola oprávnění při přístupu k určitým funkcím nebo informacím pluginu.

Úspěšné zneužití může umožnit neoprávněný přístup k citlivým údajům, které nemají být veřejně dostupné.

Zveřejněné CVSS hodnocení potvrzuje vysoký dopad na důvěrnost informací. Dopad na integritu a dostupnost není uveden.

Důležité: Zranitelnost se týká ACF Extended, nikoliv automaticky samotného pluginu Advanced Custom Fields nebo ACF Pro.

Aktivní zneužívání zatím nebylo potvrzeno.

Dostupnost opravy

CVE záznam uvádí jako opravenou verzi 0.9.2.8.

Ve veřejně dostupných informacích WordPress.org však byla při kontrole stále uvedena verze 0.9.2.7.

Dostupnost bezpečnostní aktualizace proto zatím není jednoznačně potvrzena.

Doporučené kroky

Doporučujeme prověřit všechny weby používající ACF Extended a ověřit dostupnost opravené verze 0.9.2.8 nebo novější.

U webů, které provozovaly postižené verze, je vhodné prověřit veřejně dostupné endpointy a případné neobvyklé požadavky.

Doporučujeme zkontrolovat, zda prostřednictvím vlastních polí nejsou zpřístupňovány citlivé informace.

Pokud bezpečnostní aktualizace není dostupná, doporučujeme zvážit dočasnou deaktivaci pluginu. Před deaktivací je vhodné ověřit závislosti webu na funkcích ACF Extended.

Zdroj: https://patchstack.com/database/wordpress/plugin/acf-extended/vulnerability/wordpress-acf-extended-plugin-0-9-2-7-broken-access-control-vulnerability