CVE-2025-12030

СреднийОпубликовано

ACF to REST API <= 3.3.4 - Небезопасная прямая ссылка на объект, позволяющая аутентифицированным пользователям (Contributor+) изменять поля/опции ACF

Опубликовано: 7 янв. 2026 г.
Обновлено: 8 апр. 2026 г.
Назначение CNA: Wordfence
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

4,3/ 10Средний

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Оценка вероятности EPSS

0,4 %

Низкий · следующие 30 дней

Процентиль: 33,4 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Плагин ACF to REST API для WordPress уязвим к небезопасной прямой ссылке на объект (Insecure Direct Object Reference) во всех версиях до 3.3.4 включительно. Это связано с недостаточными проверками прав в методе `update_item_permissions_check()`, который лишь проверяет, что у текущего пользователя есть право `edit_posts`, не проверяя права, специфичные для конкретного объекта (например, `edit_post($id)`, `edit_user($id)`, `manage_options`). Это позволяет аутентифицированным злоумышленникам с правами уровня Contributor и выше изменять поля ACF на записях, которыми они не владеют, в любых учётных записях пользователей, комментариях, терминах таксономии и даже на глобальной странице параметров через конечные точки `/wp-json/acf/v3/{type}/{id}`, при условии, что они могут пройти аутентификацию на сайте.

Источники

CVE-2025-12030PoC
ACF to REST API WordPress Plugin IDOR Vulnerability (CVE-2025-12030) — Уязвимость безопасности, позволяющая аутентифицированным пользователям с уровнем доступа Contributor изменять поля ACF на объектах, которые им не принадлежат.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.