home / blog
2026-11-03 · critica
CVE-2026-120534: Code Injection in ACF Extended
Unauthenticated code injection nel plugin ACF Extended WordPress con CVSS 9,8. Esecuzione di funzioni arbitrarie.
Il CVE-2026-120534 è una vulnerabilità di Limited Code Injection nel plugin Advanced Custom Fields: Extended PRO per WordPress, che consente ad attaccanti non autenticati di chiamare funzioni WordPress arbitrarie con argomenti controllati tramite la funzione render_field. La vulnerabilità interessa tutte le versioni fino alla 0.9.2.6.
La vulnerabilità ha un CVSS di 9,8 (critical). Sono stati identificati due metodi di sfruttamento: il primo richiede che l'amministratore abiliti l'impostazione non predefinita 'shortcode_preview' nel modulo bersaglio; il secondo sfrutta ambienti server privi di funzioni OpenSSL, causando il fallback di acf_decrypt a decodifica base64 non verificata. La descrizione ufficiale è stata pubblicata su NVD il 2026-11-03 e registra due menzioni social nelle ultime 24 ore, inclusa un'affermazione non verificata di assenza di patch.
I difensori devono: 1) verificare se il plugin Advanced Custom Fields: Extended PRO è installato su siti WordPress critici; 2) controllare la versione rispetto a 0.9.2.6; 3) monitorare la disponibilità di aggiornamenti di sicurezza; 4) fino alla patch, disabilitare 'shortcode_preview' se non essenziale e verificare che OpenSSL sia abilitato sul server; 5) implementare verifiche d'accesso aggiuntive sui moduli esposti.
In sintesi
- Cosa
- Limited Code Injection nel plugin Advanced Custom Fields: Extended PRO per WordPress tramite la funzione render_field, che consente ad attaccanti non autenticati di eseguire funzioni WordPress arbitrarie con argomenti controllati.
- Gravità
- CVSS 9,8 (critical). Impatto: compromissione totale del sito WordPress mediante esecuzione di funzioni arbitrarie.
- Versioni interessate
- Advanced Custom Fields: Extended PRO versioni fino alla 0.9.2.6 inclusa.
- Correzione
- Non riportato. I segnali social indicano assenza di patch disponibile al momento della pubblicazione NVD.
- Stato
- Pubblicato su NVD il 2026-11-03. Due menzioni social nelle ultime 24 ore. Lo stato della disponibilità della patch non è confermato da fonti ufficiali.
- Azione
- 1) Verificare se il plugin è in uso su siti critici. 2) Controllare versione installata. 3) Se versione ≤ 0.9.2.6: disabilitare 'shortcode_preview' se non essenziale e verificare che OpenSSL sia abilitato sul server. 4) Monitorare aggiornamenti di sicurezza. 5) Implementare controlli d'accesso sui moduli esposti.
Fonti: NVD, CVE-2026-120534