CVE-2026-66470

Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.9 włącznie zawiera podatność na eskalację uprawnień. Wynika to z błędnego warunku w funkcji `ActionUser::conditions_logic()`, który pomija sprawdzenie uprawnień, gdy identyfikator użytkownika jest ciągiem znaków, co pozwala atakującemu na uzyskanie uprawnień administratora.

Wtyczka Frontend Admin by DynamiApps w wersjach do 3.29.10 zawiera podatność na nieuwierzytelnioną eskalację uprawnień. Zdalny atakujący bez uwierzytelnienia może podnieść swoje uprawnienia w systemie.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.

Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Wtyczka Frontend Admin by DynamiApps dla WordPressa, we wszystkich wersjach do 3.29.9 włącznie, zawiera podatność na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą zresetować hasło dowolnego użytkownika, w tym administratora, co prowadzi do pełnego przejęcia konta i kompromitacji strony.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.9 dekoduje encje HTML w przesłanej wartości pola formularza po jej oczyszczeniu, co przywraca znaczniki HTML, które zostały zneutralizowane przez oczyszczacz. Podwójnie zakodowany ładunek przesłany przez nieuwierzytelnionego odwiedzającego jest przechowywany jako żywy znacznik i później wyświetlany bez kodowania na powierzchniach wyświetlania front-endu, co skutkuje przechowywanym cross-site scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratora, który przegląda stronę wyświetlającą przesłaną wartość.

Wtyczka Frontend Admin by DynamiApps do WordPressa przed wersją 3.29.7 nie sprawdza uprawnień przy operacjach tworzenia, modyfikacji i usuwania terminów taksonomii. Zalogowani użytkownicy z niskimi uprawnieniami (np. Subskrybenci) mogą tworzyć, zmieniać nazwy i usuwać dowolne terminy taksonomii.

Wtyczka Frontend Admin by DynamiApps dla WordPress jest podatna na ogólne SQL Injection przez parametr 'order' we wszystkich wersjach do 3.28.28 włącznie, z powodu niedostatecznego escapingu parametru i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może posłużyć do wyodrębnienia wrażliwych informacji z bazy danych. Eksploatacja wymaga również podania prawidłowego parametru 'orderby' w tym samym żądaniu.