افزونه‌های Advanced Custom Fields: Extended و نسخه PRO آن برای وردپرس (نسخه‌های پیش از 0.9.2.8) دارای یک نقص امنیتی هستند که به دلیل عدم اعتبارسنجی یا پاک‌سازی (Escaping) صحیح برخی از ویژگی‌های (Attributes) مربوط به Shortcodeهای فرم رخ می‌دهد.
این آسیب‌پذیری به مهاجم اجازه می‌دهد تا مقادیری را از درخواست‌های کاربر (Visitor’s request) دریافت کرده و بدون خنثی‌سازی، در خروجی نمایش دهد. در نتیجه، کاربران با سطوح دسترسی پایین (مانند نقش Contributor) می‌توانند با استفاده از یک لینک یا صفحه دستکاری‌شده، کدهای مخرب (Arbitrary Script) را در مرورگر سایر کاربران، از جمله مدیران (Administrators) سیستم، اجرا کنند.
لازم به ذکر است که این آسیب‌پذیری در واقع یک اصلاح ناقص برای CVE-2023-5292 محسوب می‌شود؛ چرا که روش اصلاح قبلی تنها بر محدود کردن سه ویژگی اصلی HTML تمرکز داشت و نتوانست تمامی مسیرهای حمله را پوشش دهد.
