CVE-2026-75816
KrytyczneCVSS 9.8Streszczenie
Wtyczka Frontend Admin by DynamiApps dla WordPressa jest podatna na obejście uwierzytelnienia prowadzące do przejęcia konta we wszystkich wersjach do 3.29.12 włącznie. Funkcja pre_update_value nie sprawdza uprawnień ani własności, a ActionPost::conditions_logic() omija autoryzację current_user_can('edit_post') dla nie-numerycznych ID postów, co pozwala nieuwierzytelnionym atakującym na zmianę adresu e-mail dowolnego użytkownika, w tym administratora, i przejęcie konta przez natywny mechanizm resetowania hasła.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konto administratora WordPressa, co prowadzi do pełnej kompromitacji strony internetowej i danych.
Rekomendacja
Zaktualizuj wtyczkę Frontend Admin by DynamiApps do najnowszej wersji, która zawiera poprawkę, oraz sprawdź, czy nie doszło do nieautoryzowanych zmian kont.
Inne podatności w Frontend Admin by DynamiApps
Zobacz wszystkie- CVE-2026-18432Krytyczne
Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.9 włącznie zawiera podatność na eskalację uprawnień. Wynika to z błędnego warunku w funkcji `ActionUser::conditions_logic()`, który pomija sprawdzenie uprawnień, gdy identyfikator użytkownika jest ciągiem znaków, co pozwala atakującemu na uzyskanie uprawnień administratora.
- CVE-2026-66662Krytyczne
Wtyczka Frontend Admin by DynamiApps w wersjach do 3.29.10 zawiera podatność na nieuwierzytelnioną eskalację uprawnień. Zdalny atakujący bez uwierzytelnienia może podnieść swoje uprawnienia w systemie.
- CVE-2026-81347Średnie
Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.13 nieprawidłowo waliduje kontrolowaną przez użytkownika ścieżkę katalogu przed usunięciem plików w nim. Niezalogowani atakujący mogą usuwać pliki index.php i .htaccess poza zamierzonym katalogiem, w tym w katalogu głównym WordPressa, co może unieruchomić witrynę. Skuteczne wykorzystanie wymaga nie domyślnej konfiguracji formularza.
- CVE-2026-19952Wysokie
Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.12 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji move_folders. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Atak jest możliwy bez uwierzytelnienia, gdy formularz jest skonfigurowany jako publiczny.
- CVE-2026-81346Średnie
Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.
- CVE-2026-66638Średnie
Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
- CVE-2026-15606Wysokie
Wtyczka Frontend Admin by DynamiApps dla WordPressa, we wszystkich wersjach do 3.29.9 włącznie, zawiera podatność na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą zresetować hasło dowolnego użytkownika, w tym administratora, co prowadzi do pełnego przejęcia konta i kompromitacji strony.
- CVE-2026-66470Wysokie
Podatność Broken Access Control w wtyczce Frontend Admin by DynamiApps w wersjach do 3.29.10, umożliwiająca użytkownikowi z rolą subskrybenta dostęp do funkcji administracyjnych bez autoryzacji.
- CVE-2026-13609Wysokie
Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.9 dekoduje encje HTML w przesłanej wartości pola formularza po jej oczyszczeniu, co przywraca znaczniki HTML, które zostały zneutralizowane przez oczyszczacz. Podwójnie zakodowany ładunek przesłany przez nieuwierzytelnionego odwiedzającego jest przechowywany jako żywy znacznik i później wyświetlany bez kodowania na powierzchniach wyświetlania front-endu, co skutkuje przechowywanym cross-site scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratora, który przegląda stronę wyświetlającą przesłaną wartość.
- CVE-2026-11867Średnie
Wtyczka Frontend Admin by DynamiApps do WordPressa przed wersją 3.29.7 nie sprawdza uprawnień przy operacjach tworzenia, modyfikacji i usuwania terminów taksonomii. Zalogowani użytkownicy z niskimi uprawnieniami (np. Subskrybenci) mogą tworzyć, zmieniać nazwy i usuwać dowolne terminy taksonomii.
Oryginalny opis (angielski, źródło NVD)
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.