افزونه‌های Advanced Custom Fields: Extended و نسخه PRO آن برای وردپرس (نسخه‌های قبل از 0.9.2.8) دارای یک نقص امنیتی جدی هستند که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، پست‌های دلخواه را بازنویسی کنند.
این آسیب‌پذیری ناشی از عدم بررسی سطح دسترسی (Capability Check) هنگام به‌روزرسانی پست‌ها از طریق یکی از اکشن‌های فرم‌های Front-end است. مهاجم می‌تواند با سوءاستفاده از این نقص، پست‌هایی که شامل تعاریف فیلدهای سایت هستند را تغییر داده و در نهایت منجر به اجرای کد از راه دور (RCE) در سرور شود.
برای بهره‌برداری از این آسیب‌پذیری، سایت باید فرمی داشته باشد که در آن اکشنِ به‌روزرسانی پست (Post-update action)، هدف (Target) و محتوا (Content) را به مقادیر ارسالی توسط کاربر متصل (Map) کند.
