Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
PoC
Опубликована

CVE-2026-94264

Advanced Custom Fields: Extended 0.8.9.4 - 0.9.2.7 - Contributor+ XSS via Form Shortcode Attributes

Публикация: 23.10.2026·Обновлена: 23.10.2026, 13:46·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not validate or escape some of its form shortcode attributes, which can be pointed at values taken from the visitor's own request and are then output without escaping, allowing users with a role as low as contributor to have arbitrary script run in the browser of anyone led to open a crafted link or page, including a logged-in administrator. This is an incomplete fix for CVE-2023-5292, whose deny-list covers only the three HTML wrapper attributes.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Unknown / Advanced Custom Fields: Extended 

{
  "status": "affected",
  "version": "0.8.9.4",
  "lessThan": "0.9.2.8",
  "versionType": "semver"
}

Unknown / Advanced Custom Fields: Extended PRO 

{
  "status": "affected",
  "version": "0.8.9.4",
  "lessThan": "0.9.2.8",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.8
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиивысокие
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)

Источники и ссылки

PoC / эксплойт · wpscan.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:57.100789+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.957625+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.957625+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.957625+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:57.100789+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.957625+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:15
  2. Данные обновлены03.11.2026, 00:15
  3. Данные обновлены02.11.2026, 00:13
  4. Данные обновлены31.10.2026, 12:00
  5. Данные обновлены29.10.2026, 12:46
  6. Появилась ссылка на PoC29.10.2026, 00:06

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-110305
Advanced Custom Fields: Extended ]' Parameter via {get_user} Template Tag Injection
hwk-fr / Advanced Custom Fields: Extended
Высокий7.5
0,61 %
30.10.2026
CVE-2026-2839
Advanced Custom Fields: Extended <= 0.9.2.7 - Missing Authorization to Unauthenticated Data Exposure via Multiple AJAX Endpoints
hwk-fr / Advanced Custom Fields: Extended
Средний5.3
0,28 %
28.10.2026
CVE-2026-10752
Advanced Custom Fields: Extended <= 0.9.2.6 - Missing Authorization to Unauthenticated Arbitrary Attachment Deletion via Email Action Dynamic File Field
hwk-fr / Advanced Custom Fields: Extended
Средний4.8
0,25 %
27.10.2026
CVE-2026-94263
Advanced Custom Fields: Extended 0.9.2.4 - 0.9.2.7 - Unauthenticated Arbitrary Shortcode Execution via Form Success Message
Unknown / Advanced Custom Fields: Extended · Unknown / Advanced Custom Fields: Extended PRO
Высокий4.8
0,2 %
PoC
23.10.2026
CVE-2026-94262
Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Non-Administrator Account Takeover via Front-End User Update Action
Unknown / Advanced Custom Fields: Extended · Unknown / Advanced Custom Fields: Extended PRO
Критический8.1
0,29 %
PoC
23.10.2026