CVE-2026-8809

Résumé

Le plugin Advanced Custom Fields: Extended pour WordPress est vulnérable à une élévation de privilèges via contournement de validation dans toutes les versions jusqu'à 0.9.2.5 incluse. La vulnérabilité existe car la fonction after_validate_save_post() se fie inconditionnellement au paramètre POST _acf_post_id contrôlé par l'attaquant — sans aucune vérification d'authentification ni d'intégrité — pour sélectionner une branche de nettoyage qui écarte silencieusement toutes les erreurs de validation non préfixées par acfe:. Cela permet aux attaquants non authentifiés de supprimer à la fois l'erreur de validation de la liste d'autorisation de rôles ajoutée par acfe_field_user_roles::validate_front_value() et l'erreur de contrôle de capacité du rôle d'administrateur ajoutée par acfe_module_form_action_user::validate_action(), ce qui entraîne l'exécution de wp_insert_user() avec un argument de rôle d'administrateur fourni par l'attaquant et aboutit à la création d'un nouveau compte utilisateur de niveau administrateur. L'exploitation nécessite que le site cible expose un formulaire front-end ACFE public configuré avec une action Create User qui mappe un champ de rôle.

• CVE-2026-8809PoC

  Advanced Custom Fields: Extended <= 0.9.2.5 - Élévation de privilèges non authentifiée via contournement de validation vers le paramètre '_acf_post_id'