CVE-2026-13609 in Frontend Admin Plugin
Zusammenfassung
von VulDB • 31.07.2026
Das WordPress-Plugin „Frontend Admin by DynamiApps“ vor Version 3.29.9 decodiert HTML-Entities in einem Wert eines übermittelten Formularfelds nach dessen Bereinigung (Sanitization), wodurch HTML-Tags wiederhergestellt werden, die vom Sanitizer neutralisiert wurden. Ein von einem nicht authentifizierten Besucher eingereichter doppelt codierter Payload wird daher als aktives Tag gespeichert und später auf den Frontend-Anzeigeoberflächen des WordPress-Plugins „Frontend Admin by DynamiApps“ vor Version 3.29.9 ohne Escaping ausgegeben, was zu einer gespeicherten Cross-Site-Scripting-Lücke (Stored XSS) führt, die im Browser jedes Benutzers – einschließlich eines Administrators – ausgeführt wird, der eine Seite mit dem eingereichten Wert aufruft.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.