CVE-2026-13609
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.9 dekoduje encje HTML w przesłanej wartości pola formularza po jej oczyszczeniu, co przywraca znaczniki HTML, które zostały zneutralizowane przez oczyszczacz. Podwójnie zakodowany ładunek przesłany przez nieuwierzytelnionego odwiedzającego jest przechowywany jako żywy znacznik i później wyświetlany bez kodowania na powierzchniach wyświetlania front-endu, co skutkuje przechowywanym cross-site scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratora, który przegląda stronę wyświetlającą przesłaną wartość.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach wszystkich użytkowników, w tym administratorów, prowadząc do kradzieży sesji, defacementu lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę Frontend Admin by DynamiApps do wersji 3.29.9 lub nowszej.
Inne podatności w Frontend Admin by DynamiApps
Zobacz wszystkie- CVE-2026-18432Krytyczne
Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.9 włącznie zawiera podatność na eskalację uprawnień. Wynika to z błędnego warunku w funkcji `ActionUser::conditions_logic()`, który pomija sprawdzenie uprawnień, gdy identyfikator użytkownika jest ciągiem znaków, co pozwala atakującemu na uzyskanie uprawnień administratora.
- CVE-2026-66662Krytyczne
Wtyczka Frontend Admin by DynamiApps w wersjach do 3.29.10 zawiera podatność na nieuwierzytelnioną eskalację uprawnień. Zdalny atakujący bez uwierzytelnienia może podnieść swoje uprawnienia w systemie.
- CVE-2026-81346Niskie ryzyko· EPSS 3%
Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.
- CVE-2026-66638Średnie
Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
- CVE-2026-15606Wysokie
Wtyczka Frontend Admin by DynamiApps dla WordPressa, we wszystkich wersjach do 3.29.9 włącznie, zawiera podatność na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą zresetować hasło dowolnego użytkownika, w tym administratora, co prowadzi do pełnego przejęcia konta i kompromitacji strony.
- CVE-2026-66470Wysokie
Podatność Broken Access Control w wtyczce Frontend Admin by DynamiApps w wersjach do 3.29.10, umożliwiająca użytkownikowi z rolą subskrybenta dostęp do funkcji administracyjnych bez autoryzacji.
- CVE-2026-11867Średnie
Wtyczka Frontend Admin by DynamiApps do WordPressa przed wersją 3.29.7 nie sprawdza uprawnień przy operacjach tworzenia, modyfikacji i usuwania terminów taksonomii. Zalogowani użytkownicy z niskimi uprawnieniami (np. Subskrybenci) mogą tworzyć, zmieniać nazwy i usuwać dowolne terminy taksonomii.
- CVE-2026-10039Średnie
Wtyczka Frontend Admin by DynamiApps dla WordPress jest podatna na ogólne SQL Injection przez parametr 'order' we wszystkich wersjach do 3.28.28 włącznie, z powodu niedostatecznego escapingu parametru i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może posłużyć do wyodrębnienia wrażliwych informacji z bazy danych. Eksploatacja wymaga również podania prawidłowego parametru 'orderby' w tym samym żądaniu.
Oryginalny opis (angielski, źródło NVD)
The Frontend Admin by DynamiApps WordPress plugin before 3.29.9 decodes HTML entities in a submitted form field value after sanitizing it, which restores HTML tags that the sanitizer had neutralized. A double-encoded payload submitted by an unauthenticated visitor is therefore stored as a live tag and later output without escaping on the Frontend Admin by DynamiApps WordPress plugin before 3.29.9's front-end display surfaces, resulting in stored cross-site scripting that executes in the browser of any user, including an administrator, who views a page displaying the submitted value.