CVE-2026-75816

Frontend Admin by DynamiApps 3.29.11 - shabti

我是 @abraxas_null。回环实验环境。客户端是 CVE-2026-75816-Abraxas-Labs.py。

user_1 不是一个文章（post）。未认证的 admin-ajax.php frontend_admin/form_submit。当对象 id 为非数字（user_1）时，ActionPost::conditions_logic() 会提前返回，从而跳过 current_user_can('edit_post')。在 3.29.11 中，Email 字段的 pre_update_value 没有 edit_user 检查，并且会 wp_update_user 更新用户 1 的邮箱。NVD 列出到 3.29.12；变更日志显示 3.29.12 添加了该检查。实验环境为 3.29.11。当前版本为 3.29.13。


CVE	CVE-2026-75816 · CVE.org
CWE	CWE-287
CVSS	严重：9.8 `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
产品	Frontend Admin by DynamiApps
受影响	所有版本至 3.29.11（NVD 列出 3.29.12；3.29.12 添加了 Email 字段的 `edit_user` 检查）
已修复	3.29.12 及更高版本
认证	无
许可证	GNU Affero GPL v3.0
实验环境	仅 `127.0.0.1`

攻击者能做什么

访客 POST 更改管理员邮箱。向该地址重置密码即可接管账户。实验环境止步于邮箱更改。我不会打印针对他人管理员的找回密码配方。

我是如何发现的

Wordfence 提到了 pre_update_value 和 user_1。我阅读了 conditions_logic，然后是 Email 字段，接着采集了公开表单。

GET /fea-lab/。提取 _acf_nonce、_acf_objects、user_email 字段键。POST acff[post][<key>][email protected]。GET /?fea_lab_email=1。小型 ajax JSON Post updated，然后是新的地址。

走过的弯路：action=pre_update_value 或 parse_array（函数名不是路由）；硬编码 nonce；数字型 post_id（那样 edit_post 会真正执行，访客会被拒绝）；who_can_see 不是 all；3.29.12；把请求体中仍然存在的 [email protected] 当作成功。

实验环境

端口 8088。Frontend Admin 3.29.11。公开表单 /fea-lab/，who_can_see=all，对象 user_1。

目标仅限 127.0.0.1:8088（或你绑定的回环地址）。

cd lab
docker compose up --force-recreate
./run.sh

见证：GET /?fea_lab_email=1 为 [email protected]。通用表单 HTML 或 [email protected] 不算。

毫无收获的失败方式：

[email protected] 仍是管理员邮箱
admin-ajax 返回 0 / -1 / 权限 JSON，但没有邮箱更改
反弹 shell
向攻击者邮箱进行真实的密码重置

修复

将 Frontend Admin by DynamiApps 更新到 3.29.12 或更高版本（当前 3.29.13）。对已修补版本重新运行 CVE-2026-75816-Abraxas-Labs.py：管理员邮箱必须不变。

参考资料

许可证

GNU Affero GPL v3.0。参见 LICENSE。

该客户端仅与回环地址通信。将其用于你并不拥有的系统，未获 Abraxas Labs 授权。无任何担保。

abraxaslabs.tech · github.com/abraxas · @abraxas_null

CVE-2026-75816

最受欢迎

CVE-2026-75816

攻击者能做什么

我是如何发现的

实验环境

修复

参考资料

许可证