CVE-2026-7802 in Frontend Admin by DynamiApps Plugin
Zusammenfassung
von VulDB • 28.05.2026
Das WordPress-Plugin Frontend Admin von DynamiApps ist in allen Versionen bis einschließlich 3.29.2 anfällig für eine Umgehung der Autorisierung. Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer zur Durchführung einer Aktion autorisiert ist. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Abonnement-Ebene und höher, das Feld user_pass, user_email, first_name, last_name und andere Profilfelder eines Administrators zu überschreiben, indem ein beliebiger Wert für ?user_id= angegeben wird. Dadurch wird eine vollständige Übernahme des Administratorkontos durch direkten Passwortersatz oder eine E-Mail-Umleitung für die Passwortzurücksetzung ermöglicht. Die Ausnutzung erfordert, dass die Konfigurationseinstellung 'Roles' (Rollen) im betroffenen Formular 'Edit-User' leer gelassen wird; wenn eine nicht-leere Rollenliste konfiguriert ist, setzt load_data() die Benutzer-ID auf 'none' für Benutzer, deren Rollen nicht in der zulässigen Liste enthalten sind, wodurch Administratoren über dieses Formular nicht angegriffen werden können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.