CVE-2025-12030
ACF to REST API <= 3.3.4 - Riferimento Diretto Insicuro a Oggetti per la Modifica di Campi/Opzioni ACF da parte di utenti autenticati (Contributor+)
- Pubblicato
- 7 gen 2026
- Aggiornato
- 8 apr 2026
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 33,1%
- Data del modello
- 17 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin ACF to REST API per WordPress è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 3.3.4 inclusa. Ciò è dovuto a controlli delle capacità insufficienti nel metodo `update_item_permissions_check()`, che verifica solo che l'utente corrente abbia la capacità `edit_posts` senza controllare le autorizzazioni specifiche dell'oggetto (ad esempio, `edit_post($id)`, `edit_user($id)`, `manage_options`). Questo rende possibile per attaccanti autenticati, con accesso di livello Contributor e superiore, modificare i campi ACF su post di cui non sono proprietari, qualsiasi account utente, commenti, termini di tassonomia e persino la pagina delle opzioni globali tramite gli endpoint `/wp-json/acf/v3/{type}/{id}`, purché riescano ad autenticarsi al sito.
Fonti
ACF to REST API WordPress Plugin IDOR Vulnerability (CVE-2025-12030) - Difetto di sicurezza che consente a utenti autenticati con accesso di livello Contributor di modificare i campi ACF su oggetti che non possiedono.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.