Advanced Custom Fields: Extended: Fehlerhafte Autorisierung bei Front-End-Benutzerupdate
Zusammenfassung
Die WordPress-Plugins Advanced Custom Fields: Extended und Extended PRO vor 0.9.2.8 prüfen in der Aktion update-user des Front-End-Forms-Moduls nicht, ob der Anfragende ein Benutzerkonto bearbeiten darf. Die Prüfung erfolgt nur, wenn das Zielkonto ein Administrator ist, daher sind Konten ohne Administratorrolle nicht geschützt. Ein nicht angemeldeter Besucher kann die Zugangsdaten eines solchen Kontos überschreiben und eine Sitzung als dieser Benutzer erlangen. Voraussetzung ist ein veröffentlichtes Formular, dessen Benutzeraktualisierung das Zielkonto über einen vom Besucher übermittelten Wert statt über den aktuellen Benutzer bestimmt.
Betroffen
- Advanced Custom Fields: Extended vor 0.9.2.8 (Angaben der CNA: 0.9.2.7 bis vor 0.9.2.8; ältere Versionen nicht verifiziert)
- Advanced Custom Fields: Extended PRO vor 0.9.2.8 (Angaben der CNA: 0.9.2.7 bis vor 0.9.2.8; ältere Versionen nicht verifiziert)
Behoben in
- Advanced Custom Fields: Extended auf 0.9.2.8 oder neuer aktualisieren
- Advanced Custom Fields: Extended PRO auf 0.9.2.8 oder neuer aktualisieren
Umgehung
- Keine bekannt.
- Alle Front-End-Formulare prüfen, die Benutzer aktualisieren, und sicherstellen, dass das Zielkonto nicht aus Besuchereingaben stammt. Dies ist eine Konfigurationsprüfung und keine Behebung.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- CISA KEV: nicht gelistet.
- Öffentlicher Proof of Concept: unbekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00132 (niedrig).
Unsere Empfehlung
- Beide Editionen auf 0.9.2.8 oder neuer aktualisieren.
- Prüfen, ob Front-End-Formulare Benutzer aktualisieren und ob das Zielkonto aus Besuchereingaben stammt.
- Kürzliche Passwortänderungen und Aktivitäten von Benutzerkonten auf betroffenen Websites überprüfen.
- Gleichzeitig die am selben Tag veröffentlichten verwandten CVEs CVE-2026-94267 und CVE-2026-94268 beheben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Advanced Custom Fields: Extended 0.9.2.7 Account Takeover wpscan.com
- VulDB: CVE-2026-94262 vuldb.com
- Vulners VulnRichment: CVE-2026-94262 vulners.com
- WPScan: CVE-2026-94267 related vulnerability wpscan.com
- VulDB: CVE-2026-94268 related vulnerability vuldb.com
- WPScan plugin page: acf-extended wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.