Advanced Members for ACF <= 1.2.5 - Exclusão Arbitrária de Arquivos (Subscriber+) via Path Traversal Autenticado

Um atacante autenticado com privilégios de Subscriber ou superior pode explorar essa vulnerabilidade para deletar arquivos no servidor WordPress. A consequência mais grave é a possibilidade de exclusão do arquivo wp-config.php, que contém informações sensíveis de configuração do WordPress, como credenciais de banco de dados. A exclusão desse arquivo pode permitir a execução de código arbitrário no servidor, comprometendo a integridade e a confidencialidade dos dados. A gravidade da vulnerabilidade é amplificada pela facilidade com que um atacante pode obter acesso Subscriber, tornando-a um risco significativo para sites WordPress com configurações de permissão padrão. A exploração bem-sucedida pode resultar em controle total do servidor, roubo de dados sensíveis e interrupção do serviço.

WordPress websites utilizing the Advanced Members for ACF plugin, particularly those running older versions (≤1.2.5) and those with Subscriber-level users or higher who have access to plugin functionality. Shared hosting environments where file permissions are not tightly controlled are also at increased risk.

• wordpress / plugin:

wp plugin list

Check if the Advanced Members for ACF plugin is installed and its version. If the version is ≤1.2.5, the system is vulnerable. • wordpress / plugin:

wp plugin update advanced-members-for-acf

Attempt to update the plugin to the latest version (1.2.6 or later). • wordpress / file system: Inspect the WordPress file system for any unusual files or modifications, particularly in directories accessible to the WordPress user. • wordpress / plugin: Review the plugin's code for any instances of file path manipulation or validation that could be exploited.

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-02-26
2. Publicada2026-04-07
3. Modificada2026-04-08
4. EPSS atualizado2026-04-15

A mitigação primária para CVE-2026-3243 é a atualização imediata do plugin Advanced Members for ACF para a versão 1.2.6 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere restringir o acesso de usuários com privilégios de Subscriber ou superior, limitando sua capacidade de interagir com as funções do plugin. Implementar regras de firewall de aplicação web (WAF) para bloquear solicitações que tentem acessar ou manipular arquivos fora do diretório esperado também pode ajudar a mitigar o risco. Monitore os logs do servidor WordPress em busca de tentativas de acesso a arquivos não autorizados ou padrões de exclusão suspeitos.

Instalações ativas

30Nicho

Avaliação do plugin