2 сентября 2026 года WPScan опубликовал CVE-2026-12526 в ACF Extended до 0.9.2.7. На сайте с определённой настройкой публичной формы посторонний может заменить пароль администратора. Граница исправления, 0.9.2.7; для рабочего сайта выбирайте актуальную поддерживаемую версию.
Какие формы ACF Extended опасны
Для захвата через смену пароля форма должна обновлять чужую существующую учётную запись и брать новый пароль из поля посетителя. По умолчанию целью является сам отправитель. Поэтому нельзя считать любую форму с установленным плагином готовым способом захвата администратора.
Вторая запись, CVE-2026-80467, затрагивает ветку с 0.9.2.2 до 0.9.2.7. Недостаточная проверка роли в публичной форме позволяет зарегистрироваться с лишними правами и затем повысить их до администратора. Обе ошибки относятся к дополнительному ACF Extended, а не автоматически ко всем установкам базового ACF.
REST и вход через Steam
Auto x LINE до 1.0.0 включительно содержит CVE-2025-15485. Некоторые REST-обработчики не проверяют права и позволяют постороннему менять настройки или очищать журнал.
OAuth Single Sign On с 6.25.0 до 7.0.1 затронут CVE-2026-82183. Недостаточная проверка ответа Steam позволяет войти под другим пользователем, кроме администратора, либо создать аккаунт. Исправление начинается с 7.0.1.
JavaScript в чате, регистрации и галерее
Simple Ajax Chat до 20260827 содержит CVE-2026-81807: сообщение может выполнить JavaScript у читателя чата, включая администратора. RegistrationMagic до 6.0.9.9 затронут CVE-2026-77792: опасное значение поля регистрации сохраняется и попадает в административный интерфейс.
Photo Gallery by 10Web до 1.8.44 содержит CVE-2026-12865. Здесь нужна специально составленная ссылка и её открытие пользователем с подходящими правами. Один из вариантов также зависит от количества галерей или альбомов. Это отражённый XSS, а не самостоятельное выполнение PHP на сервере.
Обновите найденные компоненты и пересмотрите настройки публичных форм. Ограничение полей в интерфейсе не заменяет серверную проверку разрешённых ролей и владельца аккаунта. Если безопасного выпуска нет, отключите уязвимый компонент до решения проблемы.
Зачем разработчики ограничивают редактору набор секций, объяснял в обзоре ACF Flexible Content.
