漏洞速览
- 漏洞编号：
CVE-2026-6226 - 风险评分：
8.8（高危） - 首次披露：2026-05-27
- 最近更新：2026-05-27
- 软件类型：插件
- 软件标识：
acf-frontend-form-element - 受影响版本：<= 3.29.2
- 修复版本：3.29.3
- 是否已修复：是
漏洞详情
DynamiApps 开发的 Frontend Admin WordPress 插件在 3.29.2 及之前所有版本中存在未授权提权漏洞。 该漏洞源于不安全的形式提交处理逻辑——程序直接从用户输入中读取任意表单定义，而非从后端安全加载。 当 $POST[‘acfform’] 为数组（而非表单 ID）时，validateform() 函数会跳过数据库查询，直接处理攻击者可控的结构。 create_record() 函数会保留攻击者提供的记录数据，而用户操作的 run() 函数在找不到合法字段时会回退到攻击者从 $form['fields'] 注入的字段定义。
角色字段的 preupdatevalue() 验证会从攻击者可控的定义中读取 $field['role_options']，使得攻击者可以将 ['administrator'] 指定为允许的角色，从而绕过安全检查。 攻击者借此可通过注入自定义表单配置（含伪造角色字段）来创建管理员账户。
影响与风险
- 漏洞类型：Unauthenticated Privilege Escalation via Form Configuration Injection
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：daroo
修复建议
- 按官方建议执行修复：更新至 3.29.3 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
