Wordpress Advanced Custom Fields - CVE-2025-13486

Date de publication :

Un défaut de contrôle des entrées dans le plugin Wordpress Advanced Custom Fields permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire ou de créer des comptes administrateur.

Informations

La faille est activement exploitée : Oui

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Exécution de code arbitraire

Exploitation

La vulnérabilité exploitée est du type
CWE-94: Improper Control of Generation of Code ('Code Injection')

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Faible
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
 

Systèmes ou composants affectés

Plugin Wordpress Advanced Custom Fields versions comprises entre 0.9.0.5 et 0.9.1.1

Solutions ou recommandations

Mettre à jour le plugin Wordpress Advanced Custom Fields vers la version 0.9.2 ou ultérieure.

Des informations complémentaires sont disponibles dans le bulletin de Wordfence.