abraxas/cve-2026-75816Proof-of-concept e riproduzione in laboratorio per CVE-2026-75816, un account takeover non autenticato di WordPress Frontend Admin tramite invio di form admin-ajax.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-75816
Frontend Admin by DynamiApps 3.29.11 — shabti
Il plugin Frontend Admin by DynamiApps per WordPress è vulnerabile ad Authentication Bypass to Account Takeover in tutte le versioni fino alla 3.29.12 inclusa. Ciò è dovuto al fatto che la funzione pre_update_value manca di qualsiasi controllo di capability o di ownership, e ActionPost::conditions_logic() bypassa il proprio gate di autorizzazione current_user_can('edit_post') ogni volta che l'ID del post non è numerico — come la stringa user_1 — consentendo che le submission di form non autenticate vengano indirizzate a record utente arbitrari senza restrizioni. Questo rende possibile per attaccanti non autenticati sovrascrivere l'indirizzo email registrato di qualsiasi utente, incluso quello di un amministratore, e poi sfruttare il flusso nativo di reset password di WordPress per prendere completamente il controllo dell'account preso di mira.
| CVE | CVE-2026-75816 · CVE.org |
| CWE | CWE-287 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Product | Frontend Admin by DynamiApps |
| Affected | tutte le versioni fino alla 3.29.11 (NVD elenca la 3.29.12; la 3.29.12 ha aggiunto il controllo edit_user sul campo Email) |
| Patched | 3.29.12 e successive |
| Auth | nessuna (vedi source map) |
| License | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1 · pacchetto di disclosure per vendor/client, non uno scanner |
pre_update_value è il sink, non un'azione ajax action= con quel nome. L'HTTP è admin-ajax.php action=frontend_admin/form_submit. L'id dell'oggetto è user_1 in _acf_objects, non un post id numerico.
POST/wp-admin/admin-ajax.phpGET /fea-lab/ harvest _acf_form _acf_nonce _acf_objects field keyPOST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][field][email protected]check_submit_form nopriv + who_can_see=allget_form_data fea_decrypt(_acf_objects) record[post]=user_1ActionPost::conditions_logic !is_numeric(user_1) skip edit_postActionPost::run metas acf_update_value value, user_1, user_email fielduser_email::pre_update_value explode user_ wp_update_user ID=1 [email protected]GET /?fea_lab_email=1 body is that addressGET /?fea_lab_email=1 il body è [email protected]. HTML di form generico o [email protected] non è quello.
Fai questo per primo: Aggiorna Frontend Admin by DynamiApps alla 3.29.12 o successiva (la corrente è la 3.29.13).
Verifica dopo l'upgrade
CVE-2026-75816-Abraxas-Labs.py contro la build corretta: il witness mappato non deve apparire.Se non puoi aggiornare immediatamente
Target solo http://127.0.0.1:8088 (o il loopback su cui hai fatto il bind). Non puntare questo script verso internet.
python3 CVE-2026-75816-Abraxas-Labs.py
Il successo è il witness sopra nel body della risposta. Un generico 200 HTML non è quello.
Stack loopback usato per la riproduzione. Immagini ufficiali a meno che un Dockerfile in questa cartella non venga compilato dal sorgente.
cd lab
docker compose up --force-recreate
Collega l'albero del prodotto vulnerabile accanto a Compose se lo YAML monta una directory locale (zip del plugin / tag del sorgente dalla tabella delle versioni). Non pubblicare nulla tranne 127.0.0.1.
plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
Plugin directory: acf-frontend-form-element
Trac browser: plugins.trac.wordpress.org/acf-frontend-form-element
SVN tags: plugins.svn.wordpress.org/acf-frontend-form-element
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-75816 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-75816`
- CWE: CWE-287
- published: 2026-09-06T03:17:16.607
## NVD description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## MITRE description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## Affected
- shabti Frontend Admin by DynamiApps 0 affected
## References (JSON sources only)
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/user/class-user-email.php#L127
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1001
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1224
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/display.php#L26
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
- https://www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
- https://github.com/advisories/GHSA-pv54-wq7v-wf7v
- https://nvd.nist.gov/vuln/detail/CVE-2026-75816
## GitHub advisory
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to...
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
Questo pacchetto di disclosure è rilasciato sotto la GNU Affero General Public License v3.0. Vedi LICENSE.
Questo pacchetto è destinato al vendor, al proprietario del sito e ai laboratori autorizzati. Lo script comunica con 127.0.0.1. Usarlo contro sistemi che non possiedi non è autorizzato da Abraxas Labs. Nessuna garanzia.