Prise de contrôle de comptes via les formulaires d’ACF Extended

Veille sécuritéCMS & e-commerce

P3Élevée

Advanced Custom Fields: Extended et sa version PRO, avant la version 0.9.2.8, ne vérifient pas correctement l’autorisation de modifier le compte ciblé par l’action update-user des formulaires frontaux. Si un formulaire publié permet de choisir la cible depuis une valeur fournie par le visiteur, un visiteur non authentifié peut remplacer les identifiants d’un compte non administrateur et obtenir une session pour ce compte; mettre à jour vers la version 0.9.2.8 ou ultérieure.

IdentifiantCVE-2026-94262

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.9.2.8

Source : NVD — CVE-2026-94262

Analyse technique

Défaut d’autorisation dans l’action update-user du module Forms; l’exploitation dépend de la publication d’un formulaire dont la cible est déterminée par une valeur soumise par le visiteur plutôt que par l’utilisateur courant.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-23 à 08:17:08.000 +02:00, dans la période demandée.

ImpactUn visiteur non authentifié peut prendre une session sur un compte non administrateur dans les configurations de formulaire décrites.

Versions affectéesAdvanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO versions antérieures à 0.9.2.8

Version corrigée0.9.2.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

EPSS0,13% · percentile 2,5%

Publication2026-10-23T08:17:08.000+02:00

Mise à jour2026-10-23T16:20:57.920+02:00

Action recommandée

Mettre à jour Advanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO vers la version 0.9.2.8 ou ultérieure; vérifier les formulaires publiés utilisant l’action de mise à jour d’utilisateur.

Sources

NVD — CVE-2026-94262

Priorisation DFS : P3 · 1 source(s).