abraxas/cve-2026-75816Proof-of-Concept und Labor-Reproduktion für CVE-2026-75816, eine unauthentifizierte WordPress Frontend Admin Account-Übernahme über admin-ajax Formularübermittlung.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-75816
Frontend Admin by DynamiApps 3.29.11 — shabti
Das Plugin Frontend Admin by DynamiApps für WordPress ist in allen Versionen bis einschließlich 3.29.12 anfällig für Authentication Bypass bis hin zur Account Takeover. Ursache ist, dass die Funktion pre_update_value keinerlei Capability- oder Ownership-Prüfung vornimmt und ActionPost::conditions_logic() sein Autorisierungs-Gate current_user_can('edit_post') immer dann kurzschließt, wenn die Post-ID nicht numerisch ist — etwa der String user_1 —, wodurch unauthentifizierte Formularübermittlungen ohne Einschränkung an beliebige Benutzerdatensätze weitergeleitet werden können. Dadurch ist es unauthentifizierten Angreifern möglich, die registrierte E-Mail-Adresse jedes beliebigen Benutzers, einschließlich der eines Administrators, zu überschreiben und anschließend den nativen Passwort-Reset-Ablauf von WordPress zu nutzen, um das Zielkonto vollständig zu übernehmen.
| CVE | CVE-2026-75816 · CVE.org |
| CWE | CWE-287 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produkt | Frontend Admin by DynamiApps |
| Betroffen | alle Versionen bis einschließlich 3.29.11 (NVD listet 3.29.12; 3.29.12 fügte die edit_user-Prüfung für das E-Mail-Feld hinzu) |
| Gepatcht | 3.29.12 und später |
| Auth | keine (siehe Source Map) |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1 · Vendor/Client-Disclosure-Paket, kein Scanner |
pre_update_value ist der Sink, nicht eine ajax action= dieses Namens. HTTP ist admin-ajax.php action=frontend_admin/form_submit. Objekt-ID ist user_1 in _acf_objects, keine numerische Post-ID.
POST/wp-admin/admin-ajax.phpGET /fea-lab/ harvest _acf_form _acf_nonce _acf_objects field keyPOST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][field][email protected]check_submit_form nopriv + who_can_see=allget_form_data fea_decrypt(_acf_objects) record[post]=user_1ActionPost::conditions_logic !is_numeric(user_1) skip edit_postActionPost::run metas acf_update_value value, user_1, user_email fielduser_email::pre_update_value explode user_ wp_update_user ID=1 [email protected]GET /?fea_lab_email=1 body is that addressGET /?fea_lab_email=1 body ist [email protected]. Generisches Formular-HTML oder [email protected] ist es nicht.
Zuerst dies tun: Aktualisieren Sie Frontend Admin by DynamiApps auf 3.29.12 oder neuer (aktuell ist 3.29.13).
Nach dem Upgrade verifizieren
CVE-2026-75816-Abraxas-Labs.py erneut gegen den gepatchten Build aus: der zugeordnete Witness darf nicht erscheinen.Wenn Sie nicht sofort aktualisieren können
Zielen Sie ausschließlich auf http://127.0.0.1:8088 (oder das Loopback, an das Sie gebunden haben). Richten Sie dieses Skript nicht auf das Internet.
python3 CVE-2026-75816-Abraxas-Labs.py
Erfolg ist der Witness oben im Response-Body. Generisches 200-HTML ist es nicht.
Loopback-Stack zur Reproduktion. Offizielle Images, sofern nicht ein Dockerfile in diesem Ordner aus dem Quellcode baut.
cd lab
docker compose up --force-recreate
Binden Sie den verwundbaren Produktbaum neben Compose ein, wenn die YAML ein lokales Verzeichnis mountet (Plugin-Zip / Source-Tag aus der Versionstabelle). Veröffentlichen Sie nichts außer 127.0.0.1.
plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
Plugin-Verzeichnis: acf-frontend-form-element
Trac-Browser: plugins.trac.wordpress.org/acf-frontend-form-element
SVN-Tags: plugins.svn.wordpress.org/acf-frontend-form-element
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-75816 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-75816`
- CWE: CWE-287
- published: 2026-09-06T03:17:16.607
## NVD description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## MITRE description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## Affected
- shabti Frontend Admin by DynamiApps 0 affected
## References (JSON sources only)
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/user/class-user-email.php#L127
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1001
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1224
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/display.php#L26
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
- https://www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
- https://github.com/advisories/GHSA-pv54-wq7v-wf7v
- https://nvd.nist.gov/vuln/detail/CVE-2026-75816
## GitHub advisory
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to...
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
Dieses Disclosure-Paket ist unter der GNU Affero General Public License v3.0 lizenziert. Siehe LICENSE.
Dieses Paket ist für den Vendor, den Site-Eigentümer und lizenzierte Labs. Das Skript kommuniziert mit 127.0.0.1. Die Verwendung gegen Systeme, die Ihnen nicht gehören, ist von Abraxas Labs nicht autorisiert. Keine Gewährleistung.