Dans le module Forms d’Advanced Custom Fields: Extended et de sa version PRO, la cible de l’action de mise à jour d’un utilisateur n’est pas résolue de façon cohérente entre l’autorisation et l’exécution. Un visiteur non authentifié peut contourner la protection du compte administrateur et obtenir une session valide, si le site publie les deux configurations de formulaire frontales décrites.
Source : NVD — CVE-2026-94268
Analyse technique
La cible de l’action update-user diffère entre la vérification d’autorisation et l’exécution. L’exploitation requiert deux configurations distinctes de formulaires frontaux dont les cibles sont contrôlées par des valeurs soumises par le visiteur.
Impact, versions et correctif
Action recommandée
Mettre à jour Advanced Custom Fields: Extended et sa version PRO vers la version 0.9.2.8 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).