CVE-2026-4066: Nieautoryzowany dostęp do danych w wtyczce Smart Custom Fields dla WordPress

Co wiadomo

Wtyczka Smart Custom Fields dla WordPress do wersji 5.0.6 włącznie posiada lukę umożliwiającą użytkownikom z uprawnieniami Contributor i wyższymi odczyt prywatnych oraz roboczych postów innych autorów. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji relational_posts_search(), która zwraca pełne obiekty postów bez sprawdzenia indywidualnych praw dostępu.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą uzyskać dostęp do poufnych treści innych użytkowników, co może prowadzić do wycieku informacji i naruszenia prywatności. W środowiskach wieloautorskich lub firmowych taka luka może wpłynąć na reputację i zgodność z politykami bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Smart Custom Fields do wersji po 5.0.6, w której luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp użytkowników do poziomu poniżej Contributor oraz monitorować logi pod kątem nietypowych zapytań AJAX związanych z akcją smart-cf-relational-posts-search. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć dostęp do poufnych treści.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference