🚨 Se ha publicado una vulnerabilidad crítica (CVSS 9.8) que afecta a Frontend Admin by DynamiApps (versiones hasta 3.29.10). Permite a un atacante no autenticado escalar privilegios y comprometer totalmente la confidencialidad, integridad y disponibilidad del sistema. La actualización oficial está disponible y debe aplicarse de forma urgente.
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-66662 |
| Fabricante | Shabti Kaplan |
| Producto | Frontend Admin by DynamiApps |
| Fecha de publicación | 2026-08-06 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 210 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-66662 es un fallo de escalada de privilegios sin autenticar en el plugin Frontend Admin by DynamiApps, desarrollado por Shabti Kaplan. Afecta a todas las versiones del plugin hasta la 3.29.10 inclusive. Se clasifica como CWE-266 (Incorrect Privilege Assignment), lo que implica que el plugin no asigna o verifica correctamente los privilegios de los usuarios durante ciertas operaciones. Un atacante remoto no autenticado puede aprovechar esta debilidad para obtener permisos administrativos sin necesidad de credenciales, lo que permite tomar el control completo del sitio WordPress afectado.
El vector CVSS 3.1 es AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando que el ataque se realiza desde la red, no requiere autenticación, tiene baja complejidad y no necesita interacción del usuario. El impacto en la confidencialidad, integridad y disponibilidad es alto. La puntuación base es 9.8, clasificada como CRÍTICA.
Productos y versiones vulnerables
Según los datos publicados por las fuentes oficiales, el único producto afectado es:
| Producto | Versión afectada |
|---|---|
| Frontend Admin by DynamiApps | ≤ 3.29.10 |
No se han publicado otros productos o versiones específicas en las fuentes consultadas.
Impacto y riesgo
El impacto potencial de esta vulnerabilidad es extremadamente alto. Un atacante remoto no autenticado puede escalar a privilegios de administrador en el sitio WordPress donde esté instalado el plugin Frontend Admin by DynamiApps. Esto permite:
- Acceso total a la base de datos y archivos del sitio.
- Instalación de plugins o temas maliciosos.
- Modificación de contenido, usuarios y configuraciones de seguridad.
- Potencial compromiso de otros servicios en el mismo servidor.
- Uso del sitio como base para ataques adicionales (phishing, distribución de malware, etc.).
Dado que la explotación no requiere credenciales ni interacción del usuario, cualquier sitio con el plugin vulnerable expuesto a Internet está en riesgo inmediato. La puntuación de prioridad calculada por RyzerBot es de 210, reflejando la urgencia de la actualización.
Estado de explotación conocida
No se ha publicado explotación activa confirmada en las fuentes consultadas. La vulnerabilidad fue seleccionada por RyzerBot debido a su reciente publicación (12.7 horas desde su divulgación) y su elevada severidad (CVSS 9.8). Se recomienda aplicar la actualización sin demora, incluso sin evidencia pública de explotación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. En caso de detectar actividad anómala, se recomienda realizar un análisis forense del sitio y los registros de acceso.
Cómo comprobar si estás afectado
Para determinar si tu sitio WordPress es vulnerable, revisa la versión del plugin Frontend Admin by DynamiApps:
- Accede al panel de administración de WordPress.
- Navega a Plugins → Plugins instalados.
- Busca «Frontend Admin by DynamiApps» y verifica el número de versión.
- Si la versión es ≤ 3.29.10, el sitio es vulnerable.
No se han publicado comandos específicos ni herramientas de escaneo oficiales para esta CVE.
Mitigación y actualización
La acción principal es actualizar el plugin a una versión superior a la 3.29.10, si el fabricante ha publicado un parche. Según los datos disponibles, no se ha confirmado la existencia de una versión corregida. Se recomienda:
- Visitar el repositorio oficial del plugin o la web de Patchstack para consultar la actualización.
- Suscribirse a los canales de seguridad del fabricante (Shabti Kaplan) para recibir notificaciones.
- Como mitigación temporal, deshabilitar el plugin si no es imprescindible.
- Implementar un firewall de aplicaciones web (WAF) para bloquear posibles intentos de explotación.
Checklist para administradores
- ☐ Identificar todos los sitios WordPress que utilizan Frontend Admin by DynamiApps.
- ☐ Verificar la versión del plugin en cada sitio.
- ☐ Si la versión es ≤ 3.29.10, planificar la actualización o desactivación inmediata.
- ☐ Consultar el aviso oficial de Patchstack y del fabricante.
- ☐ Aplicar la actualización tan pronto esté disponible.
- ☐ Revisar registros de acceso en busca de actividad sospechosa (por ejemplo, cambios de roles de usuario).
- ☐ Notificar a los responsables de seguridad de la organización.
- ☐ Monitorizar la presencia de nuevos parches o mitigaciones oficiales.
Preguntas frecuentes
¿Qué versión de Frontend Admin by DynamiApps está afectada?
Todas las versiones hasta la 3.29.10 inclusive se consideran vulnerables.
¿Es necesario autenticarse para explotar la vulnerabilidad?
No, un atacante remoto no autenticado puede escalar privilegios sin credenciales.
¿Hay parche disponible?
No publicado por las fuentes consultadas. Se debe seguir el aviso oficial del fabricante.
¿Puedo detectar si he sido comprometido?
No se han publicado indicadores de compromiso específicos. Se recomienda revisar los registros de acceso y cambios en roles de usuario.
¿Qué hago si no puedo actualizar el plugin?
Como medida temporal, desactiva el plugin hasta que esté disponible una versión corregida o implementa un WAF.
¿Esta vulnerabilidad afecta a otros productos de Shabti Kaplan?
No se ha publicado información sobre otros productos. Solo se menciona Frontend Admin by DynamiApps.