CVE-2026-75816 in Frontend Admin Plugin
Zusammenfassung
von VulDB • 06.09.2026
Das Frontend Admin-Plugin von DynamiApps für WordPress ist in allen Versionen bis einschließlich 3.29.12 anfällig für eine Authentication Bypass (Umgehung der Authentifizierung), die zu Account Takeover (Übernahme des Kontos) führt. Dies liegt daran, dass die Funktion pre_update_value keine Capability- oder Ownership-Prüfung durchführt und ActionPost::conditions_logic() seine aktuelle_current_user_can('edit_post')-Autorisierungsschranke kurzschließt, whenever die Post-ID nicht numerisch ist – wie beispielsweise der String user_1 –, wodurch unautentifizierte Formularübermittlungen ohne Einschränkung auf beliebige Benutzerdatensätze weitergeleitet werden. Dies ermöglicht es Angreifern ohne Authentifizierung, die registrierte E-Mail-Adresse jedes Benutzers, einschließlich eines Administrators, zu überschreiben und dann den nativen WordPress-Passwort-Zurücksetzen-Flow auszunutzen, um das Zielkonto vollständig zu übernehmen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.