CVE-2026-12428: Nieautoryzowany dostęp do danych w wtyczce Blocks for ACF Fields dla WordPress

Co wiadomo

Wtyczka Blocks for ACF Fields dla WordPress do wersji 1.6.2 umożliwia użytkownikom z uprawnieniami co najmniej na poziomie autora nieautoryzowany dostęp do wartości pól ACF z dowolnych postów, w tym prywatnych i roboczych, z powodu braku odpowiedniej weryfikacji uprawnień w funkcji get_all_values().

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą odczytać poufne dane z postów, do których normalnie nie powinni mieć dostępu, co może prowadzić do wycieku informacji i naruszenia prywatności. Może to wpłynąć na bezpieczeństwo treści i zaufanie użytkowników korzystających z serwisu opartego na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Blocks for ACF Fields i jej instalację. W przypadku braku łatki warto ograniczyć dostęp użytkowników do poziomu niższego niż autor oraz monitorować logi pod kątem podejrzanych działań związanych z REST API. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference