CVE-2026-18432: Vulnerabilidad crítica de escalada de privilegios en Frontend Admin by DynamiApps

🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-18432 que afecta al plugin Frontend Admin by DynamiApps para WordPress. Con una puntuación CVSS de 9.8, permite a un atacante no autenticado escalar privilegios hasta administrador, pudiendo modificar contraseñas y correos electrónicos de cuentas con altos privilegios. Se recomienda aplicar la actualización disponible de forma inmediata.

Cadena de riesgo y respuesta para CVE-2026-18432

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-18432
Fabricante	PHP Group (según NVD); el plugin es de shabti (según CVE.org)
Producto	Frontend Admin by DynamiApps (plugin WordPress)
Fecha de publicación	2026-08-16
Severidad	CRITICAL
CVSS	9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Puntuación de prioridad	230
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-18432 reside en el plugin Frontend Admin by DynamiApps para WordPress, en todas las versiones hasta la 3.29.9 inclusive. Se trata de un fallo de gestión de privilegios (CWE-269) que permite a un atacante escalar privilegios hasta administrador.

El problema se origina en la función ActionUser::conditions_logic(), que condiciona la comprobación de autorización current_user_can('edit_user', $user_id) a un test is_numeric(). Cuando $user_id es una cadena no numérica (por ejemplo, 1one), la comprobación se omite por completo. Esto puede provocarse enviando un valor manipulado a través del parámetro item_id no validado del endpoint AJAX no autenticado wp_ajax_nopriv_frontend_admin/forms/change_form.

De esta forma, un atacante puede obtener un payload _acf_objects firmado por el servidor que contiene el ID de usuario no numérico. WordPress posteriormente lo convierte al entero 1 (el administrador por defecto), permitiendo al atacante sobrescribir la contraseña o el correo electrónico de esa cuenta.

Productos y versiones vulnerables

Según las fuentes consultadas, el producto afectado es:

Producto	Versión afectada
Frontend Admin by DynamiApps (plugin WordPress)	Todas las versiones hasta 3.29.9 inclusive

No se han publicado otras versiones o productos afectados en las fuentes oficiales.

Impacto y riesgo

El impacto es crítico. Un atacante no autenticado (si existe un formulario de usuario público configurado) o con nivel de suscriptor (en caso contrario) puede escalar privilegios a administrador. Esto implica:

🔍 Confidencialidad: Alta – el atacante puede acceder a toda la información del sitio.
🛡️ Integridad: Alta – puede modificar contenido, usuarios y configuraciones.
✅ Disponibilidad: Alta – podría deshabilitar el sitio o bloquear a administradores legítimos.

La puntuación CVSS 9.8 refleja la facilidad de explotación (vector de red, baja complejidad, sin privilegios ni interacción del usuario) y el impacto total en los tres pilares de seguridad.

Estado de explotación conocida

No se ha publicado información sobre explotación activa en las fuentes consultadas. La vulnerabilidad ha sido seleccionada por su criticidad y publicación reciente, no por evidencia de uso en ataques reales.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) de las fuentes oficiales. No deben inventarse. Si se detectan actividades sospechosas, se recomienda realizar un análisis forense del sitio.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable:

Accede al panel de administración de WordPress.
Ve a Plugins y localiza Frontend Admin by DynamiApps.
Comprueba la versión instalada. Si es igual o inferior a 3.29.9, estás afectado.
Si no tienes el plugin instalado, no estás afectado.

No se dispone de comandos específicos proporcionados por las fuentes para esta comprobación.

Mitigación y actualización

La acción principal es actualizar el plugin a la versión más reciente disponible. Según las referencias, el fabricante ha publicado un changeset (revisión 3633030) que soluciona el problema. Se recomienda:

Actualizar Frontend Admin by DynamiApps a la versión 3.30.0 o superior (si está disponible).
Si no es posible actualizar, deshabilitar temporalmente el plugin hasta aplicar el parche.
Revisar la configuración de formularios frontend: si no son necesarios, desactivarlos.
Monitorear los registros de actividad en busca de intentos de explotación.

Para más detalles, consulta las fuentes oficiales enlazadas al final.

Checklist para administradores

☐ Identificar todas las instalaciones de WordPress que usan el plugin Frontend Admin by DynamiApps.
☐ Verificar la versión del plugin (debe ser > 3.29.9).
☐ Actualizar el plugin a la última versión disponible.
☐ Si no es posible actualizar, deshabilitar el plugin temporalmente.
☐ Revisar los logs de acceso y errores en busca de patrones sospechosos (peticiones AJAX a wp_ajax_nopriv_frontend_admin/forms/change_form).
☐ Cambiar las contraseñas de todos los usuarios administradores como medida preventiva.
☐ Revisar la integridad de las cuentas de usuario (especialmente el ID 1).
☐ Mantener copias de seguridad actualizadas.

Preguntas frecuentes

¿Qué es CVE-2026-18432?

Es una vulnerabilidad crítica de escalada de privilegios en el plugin Frontend Admin by DynamiApps para WordPress, identificada con el código CVE-2026-18432.

¿Qué versiones están afectadas?

Todas las versiones del plugin hasta la 3.29.9 inclusive.

¿Necesito estar autenticado para explotar la vulnerabilidad?

No necesariamente. Si hay un formulario de usuario público configurado, un atacante no autenticado puede explotarla. En caso contrario, se requiere al menos un nivel de suscriptor.

¿Existe un parche disponible?

Sí, el fabricante ha publicado un changeset que corrige el fallo. Se recomienda actualizar el plugin a la versión más reciente.

¿Cómo puedo saber si mi sitio ha sido comprometido?

Revisa los registros de actividad en busca de cambios no autorizados en cuentas de usuario, especialmente en el administrador por defecto (ID 1). También busca peticiones AJAX sospechosas al endpoint mencionado.

¿Debo preocuparme si no uso el plugin?

No, solo los sitios que tengan instalado y activo el plugin Frontend Admin by DynamiApps están en riesgo.