Advanced Custom Fields における複数の認証欠如の脆弱性

2022年1月6日

WordPress 用プラグイン Advanced Custom Fields には、複数の認証欠如の脆弱性が存在します。
影響を受けるシステム

Advanced Custom Fields 5.11 より前のバージョン
Advanced Custom Fields Pro 5.11 より前のバージョン

詳細情報

Delicious Brains が提供する WordPress 用プラグイン Advanced Custom Fields には、次に挙げる複数の認証欠如の脆弱性が存在します。

想定される影響

編集者 (Editor) より低い権限 (購読者、寄稿者、投稿者) のユーザによって、下記のような影響を受ける可能性があります。

データベース上のアクセス権限のないデータを閲覧される – CVE-2021-20865
アクセス権限のない情報の一覧を窃取される – CVE-2021-20866
利用権限のないフィールドグループの移動を行われる – CVE-2021-20867

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

Advanced Custom Fields 5.11
Advanced Custom Fields Pro 5.11

WordPress 用プラグイン Advanced Custom Fields における複数の認証欠如の脆弱性 – jvn.jp