CVE-2023-1196

O plugin Advanced Custom Fields, nas faixas 5.x e 6.x anteriores à 5.12.5 e 6.1.0, desserializa dados controláveis pelo usuário, abrindo a porta para PHP Object Injection. As duas pré-condições declaradas importam: o atacante precisa de pelo menos uma conta de nível Contribuidor, e uma cadeia de gadgets adequada tem de existir no código carregado para que a injeção escale para algo perigoso como execução de código. Sem um gadget, a injeção de objeto é inerte.

O ACF é um dos plugins mais instalados do WordPress, razão pela qual isto chama atenção, mas a realidade de exploração é mais rigorosamente restringida do que o 8.8 sugere. Requer um contribuidor autenticado, não uma requisição anônima, e sua severidade depende de outros plugins ou temas fornecerem um gadget utilizável, então é mais um componente de uma cadeia do que uma exploração em massa autônoma. Os sites que distribuem contas de contribuidor livremente são os que estão genuinamente expostos.

Classificaríamos isso pela interseção de pré-condições, e não pela pontuação de manchete: quais de nossos sites WordPress operam uma versão vulnerável do ACF, permitem cadastros não confiáveis de contribuidores e carregam uma fonte de gadget plausível. Dada a dificuldade de inventariar plugins por site, nossa primeira tarefa é enumerar as versões do ACF em todo o parque; os sites que também têm cadastro aberto de baixo nível sobem ao topo, o restante pode seguir o ciclo normal de patches.