CVE-2026-75816 in Frontend Admin Plugin
Sumário
de VulDB • 06/09/2026
O plugin Frontend Admin by DynamiApps para o WordPress é vulnerável a Authentication Bypass (Burla de Autenticação) que leva ao Account Takeover (Apropriação de Conta) em todas as versões até, e incluindo, 3.29.12. Isso ocorre devido à função pre_update_value não possuir nenhuma verificação de capacidade ou propriedade, e a ActionPost::conditions_logic() realizar um short-circuit na sua autorização current_user_can('edit_post') sempre que o ID do post for não numérico — como a string user_1 — permitindo que submissões de formulários sem autenticação sejam roteadas para registros de usuários arbitrários sem restrições. Isso possibilita que atacantes não autenticados substituam qualquer endereço de e-mail registrado, incluindo o de um administrador, e então aproveitem o fluxo nativo de redefinição de senha do WordPress para assumir completamente a conta alvo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.