CVE-2026-119506

W wtyczce Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.29.13 występuje nieprawidłowe przypisanie uprawnień, które pozwala na eskalację uprawnień.

Wtyczka Frontend Admin by DynamiApps dla WordPressa jest podatna na obejście uwierzytelnienia prowadzące do przejęcia konta we wszystkich wersjach do 3.29.12 włącznie. Funkcja pre_update_value nie sprawdza uprawnień ani własności, a ActionPost::conditions_logic() omija autoryzację current_user_can('edit_post') dla nie-numerycznych ID postów, co pozwala nieuwierzytelnionym atakującym na zmianę adresu e-mail dowolnego użytkownika, w tym administratora, i przejęcie konta przez natywny mechanizm resetowania hasła.

Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.9 włącznie zawiera podatność na eskalację uprawnień. Wynika to z błędnego warunku w funkcji `ActionUser::conditions_logic()`, który pomija sprawdzenie uprawnień, gdy identyfikator użytkownika jest ciągiem znaków, co pozwala atakującemu na uzyskanie uprawnień administratora.

Wtyczka Frontend Admin by DynamiApps w wersjach do 3.29.10 zawiera podatność na nieuwierzytelnioną eskalację uprawnień. Zdalny atakujący bez uwierzytelnienia może podnieść swoje uprawnienia w systemie.

Podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Frontend Admin by DynamiApps w wersjach do 3.29.13, wymagająca uprawnień administratora.

Wtyczka Frontend Admin by DynamiApps dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez obejście kses / mutację XSS we wszystkich wersjach do 3.28.36 włącznie. Wynika to z funkcji 'get_dynamic_values', która wykonuje operacje znajdowania i zamiany na poziomie tekstu na treści postów bez parsowania uwzględniającego HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.13 nieprawidłowo waliduje kontrolowaną przez użytkownika ścieżkę katalogu przed usunięciem plików w nim. Niezalogowani atakujący mogą usuwać pliki index.php i .htaccess poza zamierzonym katalogiem, w tym w katalogu głównym WordPressa, co może unieruchomić witrynę. Skuteczne wykorzystanie wymaga nie domyślnej konfiguracji formularza.

Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.12 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji move_folders. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Atak jest możliwy bez uwierzytelnienia, gdy formularz jest skonfigurowany jako publiczny.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.

Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.