CVE-2026-75816: Kritisk fejl i Frontend Admin plugin
Kritisk fejl i WordPress-pluginet Frontend Admin by DynamiApps giver angribere uden login fuld adgang til administratorkonti.
Hvad er det?
CVE-2026-75816 er en fejl i autentificering (CWE-287) i WordPress-pluginet Frontend Admin by DynamiApps. Pluginet lader brugere redigere profiloplysninger via formularer på hjemmesiden. Funktionen pre_update_value mangler kontrol af, om afsenderen har ret til at redigere den angivne bruger, og en anden funktion i pluginet springer sin egen tilladelseskontrol over, hvis brugerens id ikke er et almindeligt tal, men for eksempel teksten user_1. Det betyder, at en angriber kan sende en formular, der peger på en vilkårlig brugerkonto, og overskrive dennes e-mailadresse uden at være logget ind.
Hvem rammer det?
Alle websites, der kører WordPress med pluginet Frontend Admin by DynamiApps i version 3.29.12 eller ældre. Det gælder typisk virksomheder og foreninger, der bruger pluginet til brugerregistrering, medlemsprofiler eller selvbetjeningsformularer på deres hjemmeside.
Hvad kan ske?
En angriber uden brugernavn eller adgangskode kan ændre e-mailadressen på en administratorkonto og derefter bruge WordPress’ almindelige funktion til at nulstille adgangskode. Nulstillingslinket sendes til den nye, angriberkontrollerede e-mailadresse, og angriberen får dermed fuld administratoradgang til hjemmesiden. Det giver mulighed for at ændre indhold, installere skadelig kode, stjæle kundedata eller bruge sitet til at sende svindelmails.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over internettet. Der er offentliggjort en detaljeret teknisk beskrivelse af, hvordan fejlen udnyttes, men det er ikke bekræftet, at fejlen aktivt bliver udnyttet i angreb. Kombinationen af ingen krav til login og fuld overtagelse af administratorkonti gør sårbarheden til en af de mest alvorlige typer for et WordPress-site.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér pluginet Frontend Admin by DynamiApps til nyeste version over 3.29.12, eller deaktivér pluginet, hvis en opdatering ikke er tilgængelig.
- Kontrollér listen over administratorer og brugere med redigeringsrettigheder for ukendte konti eller ændrede e-mailadresser.
- Nulstil adgangskoder for alle administratorkonti og gennemgå seneste login-aktivitet i WordPress.
- Aktivér tofaktorgodkendelse på administratorkonti, så en overtaget e-mailadresse ikke er nok til at få adgang.
- Gennemgå serverlogfiler for usædvanlige formularindsendelser mod pluginets endpoints i perioden op til opdateringen.
- Kontakt en it-sikkerhedsrådgiver, hvis I finder tegn på uautoriserede ændringer, eller hvis I ikke selv kan verificere, om sitet er kompromitteret.
Opdatér inden for 24 timer
Vi anbefaler, at pluginet opdateres eller deaktiveres samme dag, sårbarheden bliver kendt, da angrebet ikke kræver login og kan udføres af enhver på internettet. Det er kun forsvarligt at vente, hvis pluginet allerede er afinstalleret, eller hvis hjemmesiden slet ikke er tilgængelig fra internettet. I alle andre tilfælde bør administratorkonti samtidig gennemgås for tegn på misbrug.
Tidslinje
Konkrete eksempler
Medlemsportal hos en dansk forening
En dansk forening bruger Frontend Admin by DynamiApps til, at medlemmer selv kan opdatere deres profil på foreningens WordPress-site. En angriber sender en manipuleret formular, der peger på administratorens brugerkonto, og overskriver dennes e-mailadresse. Angriberen nulstiller herefter adgangskoden via WordPress’ standardfunktion og får fuld adgang til at redigere hjemmesiden og medlemsdata.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Gå til Plugins i WordPress-administrationen og se, om Frontend Admin by DynamiApps er installeret, og hvilken version der kører. Er versionen 3.29.12 eller ældre, er sitet sårbart.
Er vi allerede blevet ramt?
Tjek administratorbrugere for ukendte e-mailadresser og se WordPress’ aktivitetslog for nulstillinger af adgangskode, I ikke selv har igangsat. Uforklarlige nye administratorkonti er også et tegn på misbrug.
Kan vi vente med at opdatere til efter weekenden?
Nej. Angrebet kræver ikke login og kan udføres automatiseret, så risikoen er den samme hele døgnet. Opdatér eller deaktivér pluginet, før I går fra sitet.
Er det nok at nulstille administrators adgangskode?
Nej. Selve fejlen ligger i pluginet, og en angriber kan bare gennemføre angrebet igen, hvis pluginet ikke er opdateret eller deaktiveret.
Skal vi anmelde forholdet, hvis vi bliver kompromitteret?
Er der sket tab af personoplysninger, for eksempel kunde- eller medarbejderdata, skal I vurdere anmeldelsespligt til Datatilsynet efter databeskyttelsesreglerne inden for 72 timer fra opdagelsen.
Hvad hvis vi ikke kan finde en opdateret version af pluginet?
Deaktivér pluginet, indtil en rettet version er tilgængelig, og fjern eventuelt formularer, der bruger det, fra offentligt tilgængelige sider.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can(‘edit_post’) authorization gate whenever the post ID is non-numeric — such as the string user_1 — allowing unauthenticated form submissions to be routed to arbitrary user records without restriction. This makes it possible for unauthenticated attackers to overwrite any user’s registered email address, including an administrator’s, and then leverage WordPress’s native password-reset flow to fully take over the targeted account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.