Mitä tapahtui
Advanced Custom Fields: Extended -lisäosassa (acf-extended) on havaittu kriittinen tietoturva-aukko versiossa 0.9.2.7. Haavoittuvuus johtuu puutteellisesta käyttöoikeustarkistuksesta lisäosan käyttäjälomakkeessa. Kirjautumaton hyökkääjä voi sen avulla kaapata olemassa olevan käyttäjätilin – myös ylläpitäjätilin – ja saada sivustolle täydet oikeudet. CVSS-pisteet ovat 9.8 (Critical).
Keitä tämä koskee
Haavoittuvuus koskee kaikkia sivustoja, joilla on käytössä Advanced Custom Fields: Extended -lisäosan versio 0.9.2.7 tai sitä vanhempi versio. Lisäosalla on yli 100 000 aktiivista asennusta WordPress.orgissa.
Mitä kannattaa tehdä
Päivittäkää Advanced Custom Fields: Extended versioon 0.9.2.8 tai uudempaan korjattuun versioon.
Näin näette lisäosan version: WordPressin hallinnassa Lisäosat → Asennetut lisäosat.
Tarkistamme Aimovahdin ylläpitoasiakkaiden sivustot ja kerromme, jos jokin vaatii toimia. Jos ette ole varmoja sivustonne tilanteesta, maksuton kuntotarkastus kertoo sen.
Lähde: Advanced Custom Fields: Extended 0.9.2.7 – Unauthenticated Privilege Escalation via Account Takeover, wordfence.com.
Tekijänoikeudet ja lisenssit
Haavoittuvuustiedot: Wordfence Intelligence (Defiant Inc.). Tiedot on käännetty ja tiivistetty alla olevien lisenssien mukaisesti.
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. https://www.cve.org/Legal/TermsOfUse