abraxas/cve-2026-75816Prova de conceito e reprodução em laboratório para CVE-2026-75816, uma tomada de conta não autenticada do WordPress Frontend Admin por meio do envio de formulário admin-ajax.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-75816
Frontend Admin by DynamiApps 3.29.11 — shabti
O plugin Frontend Admin by DynamiApps para WordPress é vulnerável a Authentication Bypass to Account Takeover em todas as versões até, e incluindo, a 3.29.12. Isso ocorre porque a função pre_update_value não possui nenhuma verificação de capacidade ou propriedade, e ActionPost::conditions_logic() contorna sua barreira de autorização current_user_can('edit_post') sempre que o ID do post não é numérico — como a string user_1 — permitindo que envios de formulário não autenticados sejam encaminhados para registros de usuários arbitrários sem restrição. Isso torna possível para atacantes não autenticados sobrescrever o endereço de e-mail registrado de qualquer usuário, incluindo o de um administrador, e então aproveitar o fluxo nativo de redefinição de senha do WordPress para assumir completamente a conta alvo.
| CVE | CVE-2026-75816 · CVE.org |
| CWE | CWE-287 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produto | Frontend Admin by DynamiApps |
| Afetado | todas as versões até 3.29.11 (NVD lista 3.29.12; 3.29.12 adicionou a verificação edit_user do campo Email) |
| Corrigido | 3.29.12 e posteriores |
| Auth | nenhuma (ver mapa do código-fonte) |
| Licença | GNU Affero GPL v3.0 |
| Lab | apenas 127.0.0.1 · pacote de divulgação para fornecedor/cliente, não é um scanner |
pre_update_value é o sink, não uma action= de ajax com esse nome. O HTTP é admin-ajax.php action=frontend_admin/form_submit. O id do objeto é user_1 em _acf_objects, não um id de post numérico.
POST/wp-admin/admin-ajax.phpGET /fea-lab/ harvest _acf_form _acf_nonce _acf_objects field keyPOST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][field][email protected]check_submit_form nopriv + who_can_see=allget_form_data fea_decrypt(_acf_objects) record[post]=user_1ActionPost::conditions_logic !is_numeric(user_1) skip edit_postActionPost::run metas acf_update_value value, user_1, user_email fielduser_email::pre_update_value explode user_ wp_update_user ID=1 [email protected]GET /?fea_lab_email=1 body is that addressGET /?fea_lab_email=1 o corpo é [email protected]. HTML genérico de formulário ou [email protected] não é isso.
Faça isto primeiro: Atualize o Frontend Admin by DynamiApps para 3.29.12 ou mais recente (atual é 3.29.13).
Verifique após a atualização
CVE-2026-75816-Abraxas-Labs.py contra a build corrigida: o witness mapeado não deve aparecer.Se você não puder atualizar imediatamente
Alvo apenas http://127.0.0.1:8088 (ou o loopback que você vinculou). Não aponte este script para a internet.
python3 CVE-2026-75816-Abraxas-Labs.py
Sucesso é o witness acima no corpo da resposta. HTML 200 genérico não é isso.
Stack de loopback usada para reproduzir. Imagens oficiais, a menos que um Dockerfile nesta pasta faça build a partir do código-fonte.
cd lab
docker compose up --force-recreate
Vincule a árvore do produto vulnerável ao lado do Compose se o YAML montar um diretório local (zip do plugin / tag de código-fonte da tabela de versões). Não publique nada exceto 127.0.0.1.
plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
Diretório de plugins: acf-frontend-form-element
Navegador Trac: plugins.trac.wordpress.org/acf-frontend-form-element
Tags SVN: plugins.svn.wordpress.org/acf-frontend-form-element
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
# CVE-2026-75816 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-75816`
- CWE: CWE-287
- published: 2026-09-06T03:17:16.607
## NVD description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## MITRE description
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
## Affected
- shabti Frontend Admin by DynamiApps 0 affected
## References (JSON sources only)
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/user/class-user-email.php#L127
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1001
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/actions/post.php#L1224
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/display.php#L26
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/changeset/3664865/acf-frontend-form-element
- https://www.wordfence.com/threat-intel/vulnerabilities/id/f1637a3b-7b0f-485d-9d19-4f711f8c671b?source=cve
- https://github.com/advisories/GHSA-pv54-wq7v-wf7v
- https://nvd.nist.gov/vuln/detail/CVE-2026-75816
## GitHub advisory
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to...
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user's registered email address, including an administrator's, and then leverage WordPress's native password-reset flow to fully take over the targeted account.
Este pacote de divulgação é licenciado sob a GNU Affero General Public License v3.0. Ver LICENSE.
Este pacote é para o fornecedor, o proprietário do site e labs licenciados. O script se comunica com 127.0.0.1. Usá-lo contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantia.