abraxas/cve-2026-75816Preuve de concept et reproduction en laboratoire pour CVE-2026-75816, une prise de contrôle de compte non authentifiée via la soumission de formulaire admin-ajax dans WordPress Frontend Admin.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-75816
Frontend Admin by DynamiApps 3.29.11 — shabti
Le plugin Frontend Admin by DynamiApps pour WordPress est vulnérable à un contournement d'authentification menant à une prise de contrôle de compte dans toutes les versions jusqu'à 3.29.12 incluse. Cela est dû au fait que la fonction pre_update_value ne dispose d'aucune vérification de capacité ou de propriété, et que ActionPost::conditions_logic() court-circuite sa barrière d'autorisation current_user_can('edit_post') chaque fois que l'ID de publication n'est pas numérique — comme la chaîne user_1 — permettant à des soumissions de formulaire non authentifiées d'être routées vers des enregistrements utilisateur arbitraires sans restriction. Cela permet à des attaquants non authentifiés d'écraser l'adresse e-mail enregistrée de n'importe quel utilisateur, y compris celle d'un administrateur, puis d'exploiter le flux natif de réinitialisation de mot de passe de WordPress pour prendre complètement le contrôle du compte ciblé.
| CVE | CVE-2026-75816 · CVE.org |
| CWE | CWE-287 |
| CVSS | Critique : 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produit | Frontend Admin by DynamiApps |
| Affecté | toutes les versions jusqu'à 3.29.11 (NVD liste 3.29.12 ; 3.29.12 a ajouté la vérification edit_user du champ Email) |
| Corrigé | 3.29.12 et ultérieures |
| Auth | aucune (voir la carte source) |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 uniquement · pack de divulgation fournisseur/client, pas un scanner |
pre_update_value est le point de terminaison, pas une action ajax= de ce nom. Le HTTP est admin-ajax.php action=frontend_admin/form_submit. L'ID d'objet est user_1 dans _acf_objects, pas un ID de publication numérique.
POST/wp-admin/admin-ajax.phpGET /fea-lab/ harvest _acf_form _acf_nonce _acf_objects field keyPOST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][field][email protected]check_submit_form nopriv + who_can_see=allget_form_data fea_decrypt(_acf_objects) record[post]=user_1ActionPost::conditions_logic !is_numeric(user_1) skip edit_postActionPost::run metas acf_update_value value, user_1, user_email fielduser_email::pre_update_value explode user_ wp_update_user ID=1 [email protected]GET /?fea_lab_email=1 body is that addressGET /?fea_lab_email=1 le corps est [email protected]. Du HTML de formulaire générique ou [email protected] ne l'est pas.
À faire en premier : Mettez à jour Frontend Admin by DynamiApps vers 3.29.12 ou plus récent (actuellement 3.29.13).
Vérifier après la mise à niveau
CVE-2026-75816-Abraxas-Labs.py contre la version corrigée : le témoin mappé ne doit pas apparaître.Si vous ne pouvez pas mettre à jour immédiatement
Ciblez uniquement http://127.0.0.1:8088 (ou le loopback que vous avez lié). Ne pointez pas ce script vers Internet.
python3 CVE-2026-75816-Abraxas-Labs.py
Le succès est le témoin ci-dessus dans le corps de la réponse. Un HTML 200 générique ne l'est pas.
Pile loopback utilisée pour reproduire. Images officielles sauf si un Dockerfile dans ce dossier est construit depuis les sources.
cd lab
docker compose up --force-recreate
Liez l'arborescence du produit vulnérable à côté de Compose si le YAML monte un répertoire local (zip du plugin / tag source issu du tableau des versions). Ne publiez rien d'autre que 127.0.0.1.
plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
Répertoire de plugins : acf-frontend-form-element
Navigateur Trac : plugins.trac.wordpress.org/acf-frontend-form-element
Tags SVN : plugins.svn.wordpress.org/acf-frontend-form-element
Abraxas Labs : abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-75816 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-75816`
- CWE: CWE-287
- published: 2026-09-06T03:17:16.607
## NVD description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## MITRE description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## Affected
- shabti Frontend Admin by DynamiApps 0 affected
## References (JSON sources only)
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/user/class-user-email.php#L127
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1001
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1224
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/display.php#L26
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
- https://www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
- https://github.com/advisories/GHSA-pv54-wq7v-wf7v
- https://nvd.nist.gov/vuln/detail/CVE-2026-75816
## GitHub advisory
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to...
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
Ce pack de divulgation est sous licence GNU Affero General Public License v3.0. Voir LICENSE.
Ce pack est destiné au fournisseur, au propriétaire du site et aux labs autorisés. Le script communique avec 127.0.0.1. L'utiliser contre des systèmes que vous ne possédez pas n'est pas autorisé par Abraxas Labs. Aucune garantie.