CVE-2026-75816 in Frontend Admin Plugin
الملخص
بحسب VulDB • 06/09/2026
يحتوي إضافة Frontend Admin من DynamiApps لـ WordPress على ثغرة تسمح بتجاوز المصادقة (Authentication Bypass) للوصول إلى حسابات المستخدمين (Account Takeover) في جميع الإصدارات حتى 3.29.12 شاملاً. ويعود ذلك إلى أن دالة `pre_update_value` تفتقر إلى أي فحص للصلاحيات أو الملكية، بالإضافة إلى قيام الدالة `ActionPost::conditions_logic()` بتجاوز (short-circuiting) بوابة التفويض `current_user_can('edit_post')` كلما كان معرف المنشور غير رقمي — مثل السلسلة النصية "user_1" — مما يسمح بإرسال نماذج من قبل جهات غير مصرح لها إلى سجلات مستخدمين عشوائية دون قيود. وهذا يمكّن المهاجمين غير المصرح لهم من استبدال عنوان البريد الإلكتروني المسجل لأي مستخدم، بما في ذلك حساب المسؤول (Administrator)، ومن ثم الاستفادة من تدفق إعادة تعيين كلمة المرور الأصلي الخاص بـ WordPress للسيطرة الكاملة على الحساب المستهدف.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.