CVE-2025-12030
ACF to REST API <= 3.3.4 - Referencia Directa a Objetos Insegura que Permite a Usuarios Autenticados (Colaborador+) Modificar Campos/Opciones de ACF
- Publicado
- 7 ene 2026
- Actualizado
- 8 abr 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:NBajo · próximos 30 días
- Percentil
- 33,1 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin ACF to REST API para WordPress es vulnerable a Referencia Directa Insegura a Objeto en todas las versiones hasta la 3.3.4, inclusive. Esto se debe a comprobaciones de capacidad insuficientes en el método update_item_permissions_check(), que solo verifica que el usuario actual tiene la capacidad edit_posts sin verificar permisos específicos del objeto (por ejemplo, edit_post($id), edit_user($id), manage_options). Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, modifiquen campos ACF en publicaciones que no les pertenecen, cualquier cuenta de usuario, comentarios, términos de taxonomía, e incluso la página de opciones globales a través de los endpoints /wp-json/acf/v3/{type}/{id}, siempre que puedan autenticarse en el sitio.
Fuentes
ACF to REST API WordPress Plugin IDOR Vulnerability (CVE-2025-12030) - Fallo de seguridad que permite a usuarios autenticados con acceso de nivel Colaborador modificar campos ACF en objetos que no poseen.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.