漏洞概述
WordPress 插件 Advanced Custom Fields: Extended（ACF Extended）在 0.9.2.1 及之前版本中存在权限提升漏洞。该漏洞源于其 insert_user 函数未对用户注册时可指定的角色进行限制，导致未经身份验证的攻击者可在注册过程中指定“administrator”角色，从而获得网站管理员权限。需要注意的是，此漏洞仅在自定义字段中将“role”映射为用户角色字段时才可被利用。
漏洞详情
- CVE 编号：CVE-2025-14533
- 漏洞类型：权限提升（Privilege Escalation）
- CVSS 评分：9.8（CRITICAL）
- 影响版本：Advanced Custom Fields: Extended 插件 ≤ 0.9.2.1
影响范围
使用 Advanced Custom Fields: Extended 插件且版本在 0.9.2.1 及以下的 WordPress 站点，若在用户注册表单中通过 ACF Extended 自定义字段映射了“role”字段，则可能受到此漏洞影响。
风险分析
由于该漏洞允许未经身份验证的远程攻击者在满足条件的情况下直接注册为管理员账户，攻击者可完全控制受影响的 WordPress 站点，包括但不限于修改内容、安装恶意插件、窃取敏感数据或进一步渗透内网系统。CVSS 评分为 9.8（严重），表明其具有极高的利用风险和破坏性。
修复建议
- 立即升级 Advanced Custom Fields: Extended 插件至 0.9.2.2 或更高版本，该版本已修复此漏洞。
- 如无法立即升级，应检查所有使用 ACF Extended 创建的用户注册表单，确保未将“role”字段暴露给前端用户；如有必要，手动移除或限制该字段的输入权限。
