Advanced Custom Fields: Extended PRO · extensão de campos personalizados
Afeta: sites com a versão PRO paga; a versão gratuita do wordpress.org não aparece como afetada
Em sites que usam a versão PRO com uma opção de pré-visualização ativada nos formulários (ou em servidores sem o OpenSSL), um visitante sem login pode fazer o site executar funções internas do WordPress e, com isso, tomar o site.
Você mesmo
- Atualizar o ACF Extended PRO para a versão mais recente (0.9.2.8 ou superior) pela conta em acf-extended.com.
- Nos formulários do ACF Extended, desativar a opção de pré-visualização de shortcode (shortcode_preview) se ela não for necessária.
- Perguntar à hospedagem se a extensão OpenSSL do PHP está ativa.
Seu dev ou hospedagem
- Confirmar que a extensão openssl está carregada: php -m | grep -i openssl.
- Revisar formulários ACFE com shortcode_preview ativado.
- Procurar nos logs requisições de visitantes a formulários ACFE com parâmetros de configuração incomuns e conferir novos administradores, opções alteradas e arquivos PHP em wp-content/uploads.
- Confirmar a versão com: wp plugin list | grep acf-extended.
Detalhes técnicos: A função render_field do Advanced Custom Fields: Extended PRO mescla parâmetros de configuração de formulário nas definições do campo sem validação suficiente e os repassa a call_user_func_array, permitindo que visitantes sem login chamem funções arbitrárias do WordPress com argumentos controlados. A exploração exige que o administrador tenha ativado a opção não padrão shortcode_preview no formulário, ou que o servidor não tenha as funções OpenSSL (o acf_decrypt do ACF Pro passa a aceitar base64 sem verificação). Afeta as versões até a 0.9.2.6; a fonte não informa a versão corrigida (a 0.9.2.8, de 19/10/2026, traz endurecimentos em shortcodes e formulários). CVSS 9.8; sem registro de exploração ativa.