CVE-2026-18432: Kritisk fejl i Frontend Admin plugin
Frontend Admin-pluginnet til WordPress har en kritisk sårbarhed (CVE-2026-18432), der giver angribere adgang som administrator. Opdatér pluginnet nu.
Hvad er det?
CVE-2026-18432 er en fejl i rettighedsstyring (CWE-269, Improper Privilege Management) i WordPress-pluginnet Frontend Admin by DynamiApps. Fejlen ligger i en funktion, der skal tjekke, om en bruger må redigere en anden brugers konto. Tjekket bliver kun udført, hvis bruger-id’et er et tal. Sender man i stedet en tekststreng som ‘1one’, springes tjekket helt over, og WordPress omsætter automatisk værdien til bruger-id 1, som er standardkontoen for administrator. Dermed kan en angriber overskrive administratorens adgangskode eller e-mail og selv logge ind som administrator.
Hvem rammer det?
Alle websites, der kører Frontend Admin by DynamiApps i version 3.29.9 eller ældre. Har sitet en offentligt tilgængelig frontend-formular til brugerregistrering eller redigering, kan angrebet udføres helt uden login. Er der ikke sådan en offentlig formular, kræver det blot en almindelig bruger med abonnent-rettigheder, altså den laveste brugertype på et WordPress-site.
Hvad kan ske?
En angriber kan overtage administratorkontoen på jeres website og dermed få fuld kontrol: installere skadelig kode, oprette nye administratorer, stjæle kundedata fra formularer eller bruge sitet til at sende phishing-mails i jeres navn. For en dansk virksomhed betyder det typisk driftsstop, mistet kundetillid og i nogle tilfælde pligt til at anmelde et databrud til Datatilsynet.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over internettet (AV:N) med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud (C:H/I:H/A:H). Der er ikke oplyst om aktiv udnyttelse i skarpt miljø pr. offentliggørelsesdatoen, men den tekniske beskrivelse er detaljeret nok til, at et fungerende angreb hurtigt kan opstå.
Hvad gør jeg nu?
Hurtig handling lukker hullet uden driftsforstyrrelser for de fleste.
- Opdatér Frontend Admin by DynamiApps til en version nyere end 3.29.9 via WordPress-adminpanelet.
- Kan pluginnet ikke opdateres med det samme, så deaktivér eventuelle offentlige frontend-brugerformularer midlertidigt.
- Gennemgå listen over administratorer og abonnenter for konti, I ikke genkender, og nulstil adgangskoder på administratorkontoen.
- Tjek serverlogs for kald til ‘frontend_admin/forms/change_form’ med usædvanlige eller ikke-numeriske værdier i item_id.
- Aktivér totrinsbekræftelse på administratorkonti som ekstra sikkerhedslag.
- Har I tegn på, at kontoen allerede er kompromitteret, eller er I i tvivl om, hvad opdateringen kræver af jeres opsætning, bør I hente ekstern hjælp med det samme.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Frontend Admin by DynamiApps til nyeste version i dag, da sårbarheden kan udnyttes uden login på mange opsætninger. Det er kun forsvarligt at vente, hvis pluginnet allerede er afinstalleret eller frontend-formularerne er utilgængelige fra internettet. I alle andre tilfælde bør opdateringen prioriteres foran andre opgaver i dag.
Tidslinje
Konkrete eksempler
Kundeportal hos en dansk håndværksvirksomhed
En dansk håndværksvirksomhed bruger Frontend Admin til at lade kunder oprette og redigere egne profiler på virksomhedens website. En angriber sender et manipuleret kald til formularen med en ugyldig bruger-id og får derved overskrevet administratorens adgangskode. Angriberen logger derefter ind som administrator, installerer skadelig kode og bruger sitet til at sende phishing-mails til virksomhedens kundeliste.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Gå til Plugins i jeres WordPress-adminpanel og se, om ‘Frontend Admin by DynamiApps’ er installeret, og hvilken version der er angivet. Er versionen 3.29.9 eller lavere, er I sårbare.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Sårbarheden kræver ikke login på sites med offentlige frontend-formularer, og en fungerende metode er allerede beskrevet offentligt. Vi anbefaler at opdatere samme dag, I opdager sårbarheden.
Hvordan ved vi, om vi allerede er blevet ramt?
Se efter uventede administratorkonti, ændrede adgangskoder eller e-mailadresser på eksisterende administratorer, samt AJAX-kald i logs til ‘frontend_admin/forms/change_form’ med mærkelige værdier i item_id.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder bevis på, at kontoen faktisk er blevet overtaget, og at persondata dermed har været tilgængelige for en uvedkommende. Ren opdatering uden tegn på misbrug udløser ikke anmeldepligt.
Rammer det os, hvis vi ikke bruger frontend-formularer?
I er stadig sårbare, hvis en bruger med almindelig abonnent-adgang findes på sitet, da angrebet i så fald kan udføres af en logget ind bruger uden administratorrettigheder.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Deaktivér midlertidigt alle offentlige frontend-brugerformularer og begræns, hvem der kan oprette abonnent-konti på sitet, indtil opdateringen er gennemført.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.29.9. The vulnerability exists because `ActionUser::conditions_logic()` gates the `current_user_can(‘edit_user’, $user_id)` authorization check behind an `is_numeric()` test, causing the check to be skipped entirely when `$user_id` is a non-numeric string — a condition that can be induced by passing a crafted value such as `1one` through the unvalidated `item_id` parameter of the unauthenticated `wp_ajax_nopriv_frontend_admin/forms/change_form` AJAX endpoint. This makes it possible for attackers to escalate privileges to administrator by obtaining a server-signed `_acf_objects` payload carrying the non-numeric user ID, which WordPress subsequently coerces to integer 1 (the default administrator), allowing the attacker to overwrite that account’s password or email address. Exploitation by unauthenticated users requires a public-facing frontend user form to be configured; in all other cases a subscriber-level account is sufficient.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.