Advanced Custom Fields（ACF）是一款使用频率较高的 WordPress 插件，已在全球超过 200 万个站点安装，近日曝光该插件存在 XSS（跨站点脚本）的高危漏洞。
ACF 的这个 XSS 漏洞允许网站在未经站长允许的情况下，未授权用户潜在地窃取敏感信息。
恶意行为者可能会利用插件的漏洞注入恶意脚本，例如重定向、广告和其他 HTML 有效负载。如果有用户访问被篡改的网站之后，用户设备就会感染并执行恶意脚本。目前官方已经发布了 6.16 版本更新，修复了上述漏洞。
站长们应尽快更新到最新版本并进行全面测试，以确保网站安全。同时，加强网站安全措施、定期备份数据等也都是必要的预防措施。此外，对于已经受到攻击的网站，应尽快采取措施清除恶意脚本和修复漏洞，避免继续遭受损失。