{"id":166,"date":"2026-01-19T00:00:00","date_gmt":"2026-01-18T23:00:00","guid":{"rendered":"https:\/\/helloblog.io\/nl\/kritieke-privilege-escalation-acf-extended-registratieformulier-admin\/"},"modified":"2026-01-19T00:00:00","modified_gmt":"2026-01-18T23:00:00","slug":"kritieke-privilege-escalation-acf-extended-registratieformulier-admin","status":"publish","type":"post","link":"https:\/\/helloblog.io\/nl\/kritieke-privilege-escalation-acf-extended-registratieformulier-admin\/","title":{"rendered":"Kritieke privilege escalation in ACF Extended: wanneer een registratieformulier ineens admin wordt"},"content":{"rendered":"\n

WordPress-sites die Advanced Custom Fields: Extended<\/strong> (ACF Extended) gebruiken, kregen half december een serieuze security-wake-up call. Wordfence publiceerde een advisory over een unauthenticated privilege escalation<\/strong>: een aanval waarbij iemand zonder account t\u00f3ch hogere rechten kan krijgen. In dit geval kan een bezoeker zichzelf in sommige configuraties rechtstreeks een administrator<\/strong>-rol toekennen.<\/p>\n\n\n\n

De kwetsbaarheid is geregistreerd als CVE-2025-14533<\/strong> en krijgt een CVSS-score van 9.8 (Critical)<\/strong>. ACF Extended heeft >100.000 actieve installs, al geldt de echte impact vooral voor sites die ACF Extended Forms gebruiken om users aan te maken of te wijzigen.<\/p>\n\n\n\n

Wat is er precies aan de hand?<\/h2>\n\n\n\n

ACF Extended is een addon op de bekende Advanced Custom Fields-plugin. E\u00e9n van de features is een form builder (Form Manager) waarmee je front-end forms kunt maken, inclusief acties zoals \u201cCreate user\u201d<\/strong> (user aanmaken) en \u201cUpdate user\u201d<\/strong> (user bijwerken). Handig voor lidmaatschapssites, portals, interne tools of onboarding flows zonder wp-admin.<\/p>\n\n\n\n

De kern van het probleem: bij de action die een user aanmaakt, wordt user-data uit de form gemapt naar arguments voor wp_insert_user()<\/code>. Als je in je form \u00f3\u00f3k een veld hebt gemapt naar role<\/code><\/strong>, dan kan een aanvaller zelf een waarde meesturen zoals administrator<\/code>.<\/p>\n\n\n\n

Het pijnpunt volgens Wordfence: de code die de user invoegt beperkt niet welke rollen toegestaan zijn. Daardoor kan de rol \u201cvrij\u201d worden gekozen, ook als je in de field group een restrictie verwacht (bijvoorbeeld een instelling zoals \u201cAllow User Role\u201d). In kwetsbare versies werd die beperking niet (voldoende) afgedwongen op het moment dat de form action draait.<\/p>\n\n\n\n

\n\n

Belangrijke nuance<\/h4>\n\n\n

Dit is vooral kritiek als je daadwerkelijk een ACF Extended form hebt met een \u201cCreate user\u201d of \u201cUpdate user\u201d action \u00e9n je hebt een veld gemapt naar role<\/code>. Zonder die role mapping is dit specifieke aanvalspad volgens de advisory niet exploiteerbaar.<\/p>\n\n<\/div>\n\n\n\n

Waarom dit meteen full compromise kan zijn<\/h2>\n\n\n\n

Privilege escalation is in WordPress bijna altijd game over als het om administrator gaat. Met adminrechten kan een aanvaller onder andere:<\/p>\n\n\n\n