CVE-2026-8809

Resumen

El plugin Advanced Custom Fields: Extended para WordPress es vulnerable a escalada de privilegios a través de un bypass de validación en todas las versiones hasta la 0.9.2.5 inclusive. La vulnerabilidad existe debido a que la función after_validate_save_post() confía incondicionalmente en el parámetro POST _acf_post_id controlado por el atacante — sin autenticación ni verificación de integridad — para seleccionar una rama de limpieza que descarta silenciosamente todos los errores de validación no prefijados con acfe:. Esto hace posible que atacantes no autenticados supriman tanto el error de validación de la lista de permitidos de roles añadido por acfe_field_user_roles::validate_front_value() como el error de protección de capacidad de rol de administrador añadido por acfe_module_form_action_user::validate_action(), haciendo que wp_insert_user() se ejecute con un argumento de rol de administrador proporcionado por el atacante y resultando en la creación de una nueva cuenta de usuario de nivel de administrador. La explotación requiere que el sitio objetivo exponga un formulario frontend público de ACFE configurado con una acción de Crear Usuario que mapee un campo de rol.

• CVE-2026-8809PoC

  Advanced Custom Fields: Extended <= 0.9.2.5 - Escalada de Privilegios no Autenticada mediante Bypass de Validación al Parámetro '_acf_post_id'