{"id":160,"date":"2026-01-19T00:00:00","date_gmt":"2026-01-18T23:00:00","guid":{"rendered":"https:\/\/helloblog.io\/sl\/kriticna-ranljivost-acf-extended-privilege-escalation\/"},"modified":"2026-01-19T00:00:00","modified_gmt":"2026-01-18T23:00:00","slug":"kriticna-ranljivost-acf-extended-privilege-escalation","status":"publish","type":"post","link":"https:\/\/helloblog.io\/sl\/kriticna-ranljivost-acf-extended-privilege-escalation\/","title":{"rendered":"Kriti\u010dna ranljivost v ACF Extended: kako lahko neavtoriziran napadalec pridobi admin pravice (in koga to dejansko ogro\u017ea)"},"content":{"rendered":"\n

V ekosistemu WordPressa so obrazci za registracijo ali upravljanje uporabnikov eden izmed najpogostej\u0161ih \u201chitrih zmag\u201d, ko gradi\u0161 prilagojen frontend. Ravno zato so napake v logiki dodeljevanja vlog posebej nevarne: \u010de napadalec lahko vpliva na role<\/code>, ima potencialno direkten skok do administracije.<\/p>\n\n\n\n

Wordfence je objavil poro\u010dilo o kriti\u010dni ranljivosti (CVSS 9.8) v vti\u010dniku Advanced Custom Fields: Extended<\/a>, dodatku za Advanced Custom Fields (ACF). Ranljivost je bila odpravljena v razli\u010dici 0.9.2.2<\/strong>, prizadete pa so vse razli\u010dice do vklju\u010dno 0.9.2.1<\/strong>.<\/p>\n\n\n\n

Kaj je ranljivost in zakaj je ozna\u010dena kot \u201cCritical\u201d<\/h2>\n\n\n\n

Gre za Privilege Escalation<\/strong> (dvig privilegijev) brez avtentikacije: neavtoriziran napadalec lahko prek dolo\u010denega \u201cuser action\u201d obrazca nastavi svojo vlogo na administrator<\/strong>. Po navedbah Wordfenca je vzrok v tem, da funkcija insert_user()<\/code> v modulu za obrazce ne omeji, katere vloge so dovoljene ob registraciji\/ustvarjanju uporabnika.<\/p>\n\n\n\n

Pomembna podrobnost: ranljivost se lahko izkoristi le, \u010de je polje role<\/code> mapirano na custom field<\/strong> v obrazcu. Torej ne gre za \u201cvsa spleti\u0161\u010da s pluginom so takoj kompromitirana\u201d, ampak za zelo specifi\u010den (in \u017eal realen) na\u010din uporabe, ko na frontendu ponudi\u0161 obrazec, ki ustvarja uporabnike.<\/p>\n\n\n\n

\n\n

Kdaj si v rizi\u010dni skupini?<\/h4>\n\n\n

\u010ce ima\u0161 v ACF Extended obrazec z akcijo \u201cCreate user\u201d ali \u201cUpdate user\u201d in je v tem obrazcu vklju\u010deno ter mapirano polje za vlogo (role), si v kriti\u010dno prizadetem scenariju. \u010ce tega nima\u0161, je verjetnost izkori\u0161\u010danja bistveno manj\u0161a.<\/p>\n\n<\/div>\n\n\n\n

Kaj lahko napadalec naredi z admin dostopom<\/h2>\n\n\n\n

Ko napadalec pridobi administratorske pravice v WordPressu, gre praviloma za popolno kompromitacijo strani<\/strong>. Administratorski uporabnik lahko:<\/p>\n\n\n\n