CVE-2025-12030

ملخص

المكوّن الإضافي ACF to REST API لووردبريس عرضة لثغرة الإحالة المباشرة غير الآمنة للكائنات (Insecure Direct Object Reference) في جميع الإصدارات حتى 3.3.4 وما يشملها. يعود السبب إلى عدم كفاية فحوصات الصلاحيات في دالة `update_item_permissions_check()`، التي تتحقق فقط من أن المستخدم الحالي يملك صلاحية `edit_posts` دون التحقق من الصلاحيات الخاصة بالكائن (مثل `edit_post($id)`، `edit_user($id)`، `manage_options`). هذا يتيح للمهاجمين المصادَق عليهم، الذين يتمتعون بصلاحيات مستوى Contributor فما فوق، تعديل حقول ACF على مشاركات لا يملكونها، وأي حساب مستخدم، وتعليقات، ومصطلحات التصنيف، وحتى صفحة الخيارات العامة عبر نقاط النهاية `/wp-json/acf/v3/{type}/{id}`، بشرط قدرتهم على المصادقة على الموقع.

• CVE-2025-12030PoC

  ACF to REST API WordPress Plugin IDOR Vulnerability (CVE-2025-12030) - ثغرة أمنية تتيح للمستخدمين المُصادَق عليهم بصلاحية مستوى المساهِم تعديل حقول ACF على كائنات لا يملكونها.