Advanced Custom Fields: Extended: Privilege Escalation zu Administrator in Front-End Forms
Zusammenfassung
Die WordPress-Plugins Advanced Custom Fields: Extended und Advanced Custom Fields: Extended PRO vor 0.9.2.8 prüfen das Ziel der Aktion update-user im Modul Front-End Forms nicht konsistent. Ein nicht angemeldeter Besucher kann den Schutz von Administratorkonten umgehen, das Administratorkonto der Website übernehmen und eine gültige Sitzung dafür erhalten. Die Ausnutzung setzt voraus, dass die Website zwei separate Front-End-Formularkonfigurationen veröffentlicht, deren Ziele auf vom Besucher übermittelte Werte abgebildet sind.
Betroffen
- Advanced Custom Fields: Extended (acf-extended) 0.9.2.7 bis vor 0.9.2.8
- Advanced Custom Fields: Extended PRO (acf-extended-pro) 0.9.2.7 bis vor 0.9.2.8
- Ältere Versionen: Unbekannt.
Behoben in
- Version 0.9.2.8 oder neuer für das Gratis- und das PRO-Plugin.
Umgehung
- Keine vom Hersteller dokumentierte Massnahme.
- Falls ein Patch nicht sofort möglich ist, Front-End-Formulare mit Benutzer-Aktualisierungsaktionen oder Formulare, deren Zielbenutzer aus Besuchereingaben stammt, vorübergehend deaktivieren (Empfehlung, nicht vom Hersteller).
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept für diese CVE bekannt.
- Laut Aggregatoren nicht im CISA KEV; nicht direkt geprüft.
- Die Aussagen von VulDB zur Ausnutzung sind widersprüchlich und nicht bestätigt.
Unsere Empfehlung
- Advanced Custom Fields: Extended und PRO so bald wie möglich auf Version 0.9.2.8 oder neuer aktualisieren, auf allen WordPress-Websites mit Front-End-Formularen.
- Auf unerwartete Administratorkonten, kürzlich geänderte Passwörter oder E-Mail-Adressen und aktive Administratorsitzungen prüfen.
- Front-End-Formulare überprüfen, die Benutzer anlegen oder aktualisieren.
- Auch die in derselben Version behobenen Schwachstellen (CVE-2026-94262, CVE-2026-94267) patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory CVE-2026-94268 wpscan.com
- VulDB 425578 vuldb.com
- ACF Extended GitHub repository github.com
- WPScan plugin page acf-extended wpscan.com
- INCIBE-CERT early warning CVE-2026-94268 www.incibe.es
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.