漏洞信息
# ACF至REST API <=3.3.4 未授权字段修改漏洞
## 概述
ACF to REST API 插件存在不安全的直接对象引用（IDOR）漏洞，影响所有版本至 3.3.4。
## 影响版本
所有版本 ≤ 3.3.4。
## 细节
漏洞源于 `update_item_permissions_check()` 方法中权限验证不足。该方法仅检查用户是否具备 `edit_posts` 能力，未验证对象级别的权限（如 `edit_post($id)`、`edit_user($id)`、`manage_options`）。
## 影响
经过身份验证的攻击者（包括 Contributor 及以上权限用户）可利用该漏洞，通过 `/wp-json/acf/v3/{type}/{id}` 接口修改无权访问的资源的 ACF 字段，包括：
- 非本人拥有的文章
- 任意用户账户
- 评论
- 分类法术语
- 全局选项页面
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
ACF to REST API <= 3.3.4 - Insecure Direct Object Reference to Authenticated (Contributor+) ACF Field/Option Modification
漏洞描述信息
The ACF to REST API plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.3.4. This is due to insufficient capability checks in the update_item_permissions_check() method, which only verifies that the current user has the edit_posts capability without checking object-specific permissions (e.g., edit_post($id), edit_user($id), manage_options). This makes it possible for authenticated attackers, with Contributor-level access and above, to modify ACF fields on posts they do not own, any user account, comments, taxonomy terms, and even the global options page via the /wp-json/acf/v3/{type}/{id} endpoints, granted they can authenticate to the site.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
漏洞类别
通过用户控制密钥绕过授权机制
漏洞标题
WordPress plugin ACF to REST API 安全漏洞
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。 WordPress plugin ACF to REST API 3.3.4及之前版本存在安全漏洞，该漏洞源于update_item_permissions_check方法中能力检查不足，可能导致经过身份验证的攻击者修改任意ACF字段。
CVSS信息
N/A
漏洞类别
其他