CVE-2012-10025

WordPress Plugin Advanced Custom Fields <= 3.5.1 Remote File Inclusion

CVSS 3.1Critical

10.0/ 10.0

Опубликовано

5 августа 2025 г.

Обновлено

15 мая 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить плагин Advanced Custom Fields до версии выше 3.5.1 и отключить директиву allow_url_include в конфигурации php.ini.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Критическая уязвимость удаленного включения файлов (RFI) в плагине Advanced Custom Fields (ACF) для WordPress. Эксплуатация приводит к исполнению произвольного PHP-кода без аутентификации.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Скрипт core/actions/export.php напрямую принимает POST-параметр acf_abspath без фильтрации. При включенной директиве PHP allow_url_include происходит подключение внешнего PHP-скрипта.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного кода (RCE) в контексте веб-сервера и полная компрометация хоста и базы данных WordPress.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Advanced Custom FieldsWordPress Plugin

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

raw.githubusercontent.comhttps://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/wp_advanced_custom_fields_exec.rb
www.exploit-db.comhttps://www.exploit-db.com/exploits/23856
web.archive.orghttp://web.archive.org/web/20121223025326/http://secunia.com:80/advisories/51037
www.tenable.comhttps://www.tenable.com/plugins/nessus/63326
www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/advanced-custom-fields/advanced-custom-fields-351-remote-code-execution-via-remote-file-inclusion
wpscan.comhttps://wpscan.com/vulnerability/d132d93b-509c-490d-8001-87147ed28c5e/
wordpress.orghttps://wordpress.org/plugins/advanced-custom-fields/
www.vulncheck.comhttps://www.vulncheck.com/advisories/wordpress-plugin-advanced-custom-fields-remote-file-inclusion

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2012-10025: WordPress Plugin Advanced Custom Fields <= 3.5.1 Remote File Inclusion. URL: https://cve.futuretools.ru/cve/CVE-2012-10025

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2012_10025,
  title = {{CVE-2012-10025: WordPress Plugin Advanced Custom Fields <= 3.5.1 Remote File Inclusion}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2012-10025}},
  note = {Оперативный инженерный анализ киберугроз}
}