Dans Advanced Custom Fields: Extended et sa version PRO, une action de formulaire frontal de mise à jour d’article ne vérifie pas les capacités de l’utilisateur. Un visiteur non authentifié peut ainsi écraser des articles, y compris ceux contenant les définitions de champs du site, ce qui peut conduire à l’exécution de code ; cela nécessite une configuration de formulaire exposant les cibles et contenus soumis par le visiteur.
Source : NVD — CVE-2026-94267
Analyse technique
L’action de formulaire frontale de mise à jour d’article ne réalise pas de contrôle de capacité. L’exploitation suppose un formulaire publié dont les champs configurent la cible et le contenu à partir de valeurs fournies par le visiteur.
Impact, versions et correctif
Action recommandée
Mettre à jour Advanced Custom Fields: Extended et sa version PRO vers la version 0.9.2.8 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).