CVE-2023-1196

El plugin Advanced Custom Fields, en los rangos 5.x y 6.x anteriores a 5.12.5 y 6.1.0, deserializa datos controlables por el usuario, abriendo la puerta a la Inyección de Objetos PHP. Las dos precondiciones declaradas importan: el atacante necesita al menos una cuenta de nivel Contributor, y una cadena de gadgets adecuada tiene que existir en el código cargado para que la inyección escale a algo peligroso como la ejecución de código. Sin un gadget, la inyección de objetos es inerte.

ACF es uno de los plugins de WordPress más ampliamente instalados, que es por lo que esto recibe atención, pero la realidad de la explotación está más restringida de lo que sugiere el 8.8. Requiere un contribuidor autenticado, no una solicitud anónima, y su severidad depende de que otros plugins o temas suministren un gadget usable, así que es más un componente de una cadena que un exploit masivo autónomo. Los sitios que reparten cuentas de contribuidor libremente son los que están genuinamente expuestos.

Clasificaríamos esto por la intersección de precondiciones más que por la puntuación titular: cuáles de nuestros sitios WordPress ejecutan una versión vulnerable de ACF, permiten registros no confiables de contribuidores y cargan una fuente de gadget plausible. Dado lo difícil que es inventariar plugins por sitio, nuestra primera tarea es enumerar las versiones de ACF en todo el parque; los sitios que además tienen registro abierto de bajo nivel suben a la cima, el resto puede seguir el ciclo de parches normal.