CVE-2025-13342
Frontend Admin di DynamiApps <= 3.28.20 - Aggiornamento arbitrario delle opzioni senza autenticazione
- Pubblicato
- 3 dic 2025
- Aggiornato
- 8 apr 2026
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 82,1%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin Frontend Admin by DynamiApps per WordPress è vulnerabile alla modifica non autorizzata di opzioni arbitrarie di WordPress in tutte le versioni fino alla 3.28.20 inclusa. Ciò è dovuto a controlli delle capacità e a una validazione degli input insufficienti nel gestore di salvataggio ActionOptions::run(). Questo rende possibile ad attaccanti non autenticati di modificare opzioni critiche di WordPress come users_can_register, default_role e admin_email tramite l'invio di dati di form appositamente predisposti a moduli frontend pubblici.
Fonti
http/cves/2025/CVE-2025-13342.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
PoC per CVE-2025-13342
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.