CVE-2026-75816 in Frontend Admin Plugin
要約
〜によって VulDB • 2026年09月06日
WordPress用プラグイン「Frontend Admin by DynamiApps」の全バージョン（3.29.12を含む）において、認証回避によるアカウント乗っ取り(Vulnerability)の脆弱性が存在します。これは、pre_update_value関数に権限チェックや所有権チェックが実装されていないこと、およびActionPost::conditions_logic()メソッドで投稿IDが非数値（例: 文字列「user_1」など）の場合にcurrent_user_can('edit_post')による認可ゲートがショートサーキットされることに起因します。これにより、認証されないフォーム送信が制限なく任意のユーザーレコードへルーティングされることが可能になります。この脆弱性を利用することで、攻撃者は管理者を含む任意のユーザーの登録済みメールアドレスを上書きし、WordPressの標準的なパスワードリセットフローを利用して対象アカウントを完全に乗っ取ることができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.