{"id":160,"date":"2026-01-19T00:00:00","date_gmt":"2026-01-18T23:00:00","guid":{"rendered":"https:\/\/helloblog.io\/de\/kritische-privilege-escalation-luecke-acf-extended\/"},"modified":"2026-01-19T00:00:00","modified_gmt":"2026-01-18T23:00:00","slug":"kritische-privilege-escalation-luecke-acf-extended","status":"publish","type":"post","link":"https:\/\/helloblog.io\/de\/kritische-privilege-escalation-luecke-acf-extended\/","title":{"rendered":"Kritische Privilege-Escalation-L\u00fccke in ACF Extended: Wann deine WordPress-Site wirklich betroffen ist"},"content":{"rendered":"\n

Wer auf WordPress stark mit Advanced Custom Fields arbeitet, landet fr\u00fcher oder sp\u00e4ter bei Add-ons wie Advanced Custom Fields: Extended (ACF Extended)<\/strong>. Genau in diesem Plugin wurde eine kritische Privilege-Escalation-Schwachstelle<\/strong> gemeldet, die es Angreifern unter bestimmten Bedingungen erlaubt, sich ohne Login<\/strong> Administratorrechte zu verschaffen.<\/p>\n\n\n\n

In diesem Beitrag geht es nicht um Panikmache, sondern um eine klare Einordnung: Welche Versionen sind verwundbar, welches Setup ist tats\u00e4chlich kritisch \u2013 und was solltest du jetzt konkret pr\u00fcfen und updaten?<\/strong><\/p>\n\n\n\n

Worum geht\u2019s? Privilege Escalation ohne Authentifizierung<\/h2>\n\n\n\n

Bei einer Privilege Escalation<\/em> verschafft sich ein Angreifer h\u00f6here Rechte als vorgesehen \u2013 im schlimmsten Fall Admin-Rechte<\/strong>. Das ist in WordPress besonders heikel, weil ein Admin praktisch alles kann: Plugins\/Themes hochladen, Code ausf\u00fchren (z.\u202fB. \u00fcber b\u00f6sartige ZIPs), Inhalte manipulieren oder Besucher umleiten.<\/p>\n\n\n\n

Laut Wordfence betrifft die L\u00fccke Advanced Custom Fields: Extended bis einschlie\u00dflich Version 0.9.2.1<\/strong> und wurde in 0.9.2.2<\/strong> behoben. Die Schwachstelle tr\u00e4gt die Kennung CVE-2025-14533<\/strong> und ist mit CVSS 9.8 (kritisch)<\/strong> bewertet.<\/p>\n\n\n\n

\n\n

Kurzfazit f\u00fcr die Praxis<\/h4>\n\n\n

Wenn bei dir ACF Extended \u2264 0.9.2.1<\/strong> installiert ist, solltest du sofort auf 0.9.2.2<\/strong> aktualisieren \u2013 auch wenn du glaubst, das betroffene Feature nicht zu nutzen.<\/p>\n\n<\/div>\n\n\n\n

Welche Setups sind besonders gef\u00e4hrdet?<\/h2>\n\n\n\n

Spannend (und f\u00fcr viele erst mal beruhigend): Die L\u00fccke ist zwar kritisch bewertet, aber sie l\u00e4sst sich laut Beschreibung nur dann ausnutzen, wenn ein sehr konkretes Setup vorhanden ist.<\/p>\n\n\n\n

    \n\n
  • Du nutzt in ACF Extended ein Formular mit einer \u201eCreate user\u201c (insert_user)<\/strong>– oder \u201eUpdate user\u201c<\/strong>-Action.<\/li>\n\n\n
  • In diesem Formular ist ein Feld auf die User-Rolle gemappt (also ein Custom Field, das am Ende in das role<\/code>-Argument \u00fcbernommen wird).<\/li>\n\n\n
  • Das Formular ist so erreichbar, dass ein nicht eingeloggter<\/strong> Nutzer es absenden kann (typischerweise Registrierungs-\/Onboarding-Formulare).<\/li>\n\n<\/ul>\n\n\n\n

    Hintergrund: ACF Extended bietet bei Rollenfeldern eine Art UI-Restriction (\u201eAllow User Role\u201c). Erwartbar w\u00e4re, dass diese Einschr\u00e4nkung auch bei der Formularverarbeitung greift. In den verwundbaren Versionen wurden die Rollen aber offenbar nicht serverseitig ausreichend begrenzt<\/strong> \u2013 sodass ein Angreifer bei der Registrierung schlicht administrator<\/code> als Rolle mitschicken kann, sofern das Rollenfeld im Formular-Mapping h\u00e4ngt.<\/p>\n\n\n\n

    Technischer Kern: insert_user<\/code> und fehlende Rollen-Restriktion<\/h2>\n\n\n\n

    Wordfence beschreibt das Problem in der Form-Action-Logik rund um eine insert_user()<\/code>-Routine, die am Ende in wp_insert_user($args)<\/code> m\u00fcndet. Kritisch ist dabei weniger wp_insert_user()<\/code> selbst, sondern welche Werte in $args<\/code> landen<\/strong> \u2013 und ob das Plugin vorher serverseitig sicherstellt, dass z.\u202fB. role<\/code> nur aus einer Whitelist stammt.<\/p>\n\n\n\n

    <\/circle><\/circle><\/circle><\/g><\/svg><\/span>