آسیب‌پذیری جدیدی در افزونه‌های Advanced Custom Fields: Extended و نسخه PRO برای پلتفرم وردپرس (WordPress) شناسایی شده است که می‌تواند منجر به تسخیر کامل حساب‌های مدیر (Administrator) شود.
این نقص امنیتی در نسخه‌های پیش از 0.9.2.8 این افزونه‌ها وجود دارد. مشکل اصلی در ماژول Forms در بخش Front-end و در اکشن update-user نهفته است. در این بخش، عدم هماهنگی میان مرحله احراز هویت (Authorization) و مرحله اجرای دستور، به مهاجم اجازه می‌دهد تا محدودیت‌های امنیتی را دور بزند.
یک مهاجم بدون نیاز به احراز هویت (Unauthenticated) می‌تواند با سوءاستفاده از این نقص، حساب مدیر سایت را تسخیر کرده و یک نشست (Session) معتبر برای آن دریافت کند. برای اجرای موفقیت‌آمیز این اکسپلویت (Exploit)، سایت هدف باید دارای دو پیکربندی مجزا در فرم‌های Front-end باشد که اهداف آن‌ها به درستی نقشه‌برداری شده باشند.
