約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限

漏洞簡介

WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為CVE-2025-14533，CVSS風險評分高達9.8分，屬於重大（Critical）等級。

漏洞的核心在於插件在處理「插入使用者/更新使用者」表單操作時，未能正確執行角色權限限制。即使管理員在字段設定中正確配置了角色限制，攻擊者仍可透過表單欄位構造惡意請求，將自己的用戶角色設定為「管理員」，進而取得管理員權限。

此漏洞存在於ACF Extended 0.9.2.1 及更早版本中，若網站啟用了映射了「角色（role）」欄位的用戶創建或更新表單，則攻擊者即可透過惡意請求取得管理員權限。根據資料顯示，有約5萬至10萬個WordPress網站仍使用該版本插件，未及時更新至已修復版本。

該漏洞已在ACF Extended版本0.9.2.2中獲得修復。安全團隊提醒，截至目前，仍有大量安裝該插件的WordPress網站未更新至修復版本，因此仍處於高風險狀態。