Advanced Custom Fields: Extended jusqu’à la version 0.9.2.6 incluse ne vérifie pas correctement les autorisations pour une action de suppression de médias. Un attaquant non authentifié peut supprimer des pièces jointes si le site possède un formulaire public configuré avec les conditions particulières décrites dans l’avis.
Source : NVD — CVE-2026-10752
Analyse technique
L’exploitation décrite nécessite un formulaire ACFE public avec une action Email et un champ dynamique lié à une ligne de pièce jointe où l’option Delete est activée; aucun contrôle d’appropriation ou de capacité n’est alors effectué.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité et vérifier les formulaires publics ACFE et leurs options de suppression.
Sources
Priorisation DFS : P4 · 1 source(s).