CVE-2025-12030

सारांश

WordPress के लिए ACF to REST API प्लगइन, 3.3.4 तक के सभी संस्करणों में Insecure Direct Object Reference भेद्यता से ग्रस्त है। यह update_item_permissions_check() विधि में अपर्याप्त क्षमता जाँच के कारण होता है, जो केवल यह सत्यापित करती है कि वर्तमान उपयोगकर्ता के पास edit_posts क्षमता है, बिना ऑब्जेक्ट-विशिष्ट अनुमतियों (जैसे, edit_post($id), edit_user($id), manage_options) की जाँच किए। यह प्रमाणित हमलावरों के लिए, Contributor-स्तर या उससे ऊपर की पहुँच के साथ, उन पोस्टों पर ACF फ़ील्ड संशोधित करना संभव बनाता है जिनके वे स्वामी नहीं हैं, किसी भी उपयोगकर्ता खाते, टिप्पणियों, taxonomy terms, और यहाँ तक कि /wp-json/acf/v3/{type}/{id} एंडपॉइंट्स के माध्यम से वैश्विक विकल्प पृष्ठ को भी, बशर्ते वे साइट पर प्रमाणीकरण कर सकें।

• CVE-2025-12030PoC

  ACF to REST API WordPress Plugin IDOR Vulnerability (CVE-2025-12030) - सुरक्षा दोष जो प्रमाणित उपयोगकर्ताओं को Contributor-स्तर की पहुंच के साथ उन वस्तुओं पर ACF फ़ील्ड्स को संशोधित करने की अनुमति देता है जिनके वे मालिक नहीं हैं।