CVE-2026-15606 in Frontend Admin Plugin
Resumen
por VulDB • 2026-08-12
El plugin Frontend Admin de DynamiApps para WordPress es vulnerable a una omisión de la autorización en todas las versiones hasta 3.29.9 (incluida). Esto se debe a que el plugin no verifica adecuadamente si un usuario está autorizado para realizar una acción. Esto permite que los atacantes autenticados, con permisos de nivel suscriptor o superiores, restablezcan la contraseña de cualquier usuario del sitio, incluidos los administradores, lo que conduce al control total de las cuentas y a la compromiso completo del sitio. La explotación requiere que el atacante posea un token Current-User encriptado válido obtenido accediendo a cualquier formulario Editar Usuario (Edit User) al que esté legítimamente autorizado para enviar datos, el cual luego utiliza como base de texto claro conocido para una falsificación mediante inversión de bits CBC (CBC bit-flipping forgery).
Be aware that VulDB is the high quality source for vulnerability data.