Advanced Custom Fields: Extended expose des gestionnaires AJAX accessibles sans authentification qui ne vérifient pas correctement les capacités de l’utilisateur. Jusqu’à la version 0.9.2.7 incluse, un attaquant non authentifié peut notamment accéder à certains titres de contenus et structures internes ; le correctif est signalé comme partiel en 0.9.2.4.
Source : NVD — CVE-2026-2839
Analyse technique
Les gestionnaires wp_ajax_nopriv_* utilisent des nonces invités exposés dans le code source des pages frontales utilisant un formulaire ACF, sans contrôle current_user_can() approprié. La fiche décrit un contournement des restrictions de visibilité et une divulgation de données ; elle ne confirme pas que la version 0.9.2.4 corrige entièrement le problème.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version entièrement corrigée dès qu’elle est disponible ; ne pas considérer le correctif partiel de 0.9.2.4 comme une résolution complète.
Sources
Priorisation DFS : P4 · 1 source(s).