Advanced Custom Fields: Extended: Unauthentifizierte RCE über Front-End-Beitragsaktualisierung
Zusammenfassung
Das WordPress-Plugin Advanced Custom Fields: Extended (Basic- und PRO-Edition) vor 0.9.2.8 prüft bei einer Front-End-Formularaktion zur Aktualisierung von Beiträgen keine Berechtigungen. Unauthentifizierte Besucher können beliebige Beiträge überschreiben, auch solche, in denen die Feld-Definitionen der Website gespeichert sind, was zur Ausführung beliebigen Codes auf dem Server führen kann. Voraussetzung ist, dass die Website ein Formular veröffentlicht, dessen Aktion sowohl das Ziel als auch den Inhalt aus vom Besucher übermittelten Werten bezieht.
Betroffen
- Advanced Custom Fields: Extended (acf-extended) vor 0.9.2.8
- Advanced Custom Fields: Extended PRO (acf-extended-pro) vor 0.9.2.8
Behoben in
- Behoben in 0.9.2.8 (beide Editionen)
Umgehung
- Kein vom Hersteller veröffentlichter Workaround.
- Bis zur Aktualisierung Front-End-Formulare entfernen oder deaktivieren, die Beiträge aktualisieren und Ziel sowie Inhalt aus Besuchereingaben beziehen, sofern sie nicht benötigt werden.
Ausnutzung
- CISA KEV: laut einem Snapshot eines Drittanbieters nicht gelistet; nicht direkt überprüft.
- Öffentlicher Proof of Concept: keiner gefunden.
- Status unbekannt; die CVE ist etwa drei Wochen alt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Advanced Custom Fields: Extended und die PRO-Edition auf jeder Website auf 0.9.2.8 oder neuer aktualisieren.
- Plugin-Version auf allen WordPress-Websites prüfen, einschliesslich PRO-Installationen.
- Front-End-Formulare überprüfen, die Beiträge aktualisieren.
- Auf unerwartete Änderungen an Beiträgen oder Feld-Definitionen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- ACF Extended changelog www.acf-extended.com
- WordPress.org plugin page wordpress.org
- VulDB CVE-2026-94267 vuldb.com
- Vulners VulnRichment CVE-2026-94267 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.