CVE-2026-3328 in Frontend Admin by DynamiApps Plugin
الملخص
بحسب VulDB • 27/05/2026
يحتوي مكون WordPress "Frontend Admin" من DynamiApps على ثغرة حقن كائن PHP (PHP Object Injection) عبر عملية فك التسلسل (deserialization) لحقل 'post_content' في منشورات admin_form في جميع الإصدارات حتى 3.28.31 وشاملة لها. وتعود هذه الثغرة إلى استخدام دالة WordPress `maybe_unserialize()` دون فرض قيود على الفئات (classes) على المحتوى الذي يتحكم فيه المستخدم والمخزن في محتوى منشور admin_form. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "محرر" (Editor) أو أعلى، من حقن كائن PHP. ويسمح وجود سلسلة استغلال POP (POP chain) إضافية للمهاجمين بتحقيق تنفيذ للكود عن بُعد (RCE).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.