Advanced Custom Fields: Extended PRO, jusqu’à la version 0.9.2.6 incluse, présente une injection de code limitée dans la fonction render_field. Selon la description, un attaquant non authentifié peut appeler des fonctions WordPress avec des arguments contrôlés lorsque certaines conditions de configuration ou d’environnement sont réunies.
Source : NVD — CVE-2026-120534
Analyse technique
Les paramètres de configuration du formulaire ne sont pas suffisamment validés avant leur fusion avec les réglages du champ puis leur transmission à call_user_func_array. Les conditions indiquées comprennent l’activation du réglage non activé par défaut shortcode_preview ou l’absence de fonctions OpenSSL dans l’environnement serveur.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; éviter d’activer shortcode_preview sur les formulaires concernés et vérifier la configuration OpenSSL du serveur.
Sources
Priorisation DFS : P3 · 1 source(s).