Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-75816 |
| Fabricante | shabti (desarrollador del plugin) |
| Producto | Frontend Admin by DynamiApps |
| Fecha de publicación | 2026-09-06 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad reside en la función pre_update_value del plugin, la cual no realiza comprobaciones de capacidades ni de propiedad del usuario. Además, el método ActionPost::conditions_logic() omite la verificación current_user_can('edit_post') cuando el identificador de la entrada no es numérico (por ejemplo, la cadena user_1). Esto permite que envíos de formularios sin autenticación se dirijan a registros de usuario arbitrarios sin restricciones.
Como consecuencia, un atacante no autenticado puede modificar la dirección de correo electrónico registrada de cualquier usuario, incluido un administrador, y posteriormente utilizar el flujo nativo de restablecimiento de contraseña de WordPress para tomar el control total de la cuenta objetivo.
El CWE asociado es CWE-287: Improper Authentication.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| shabti | Frontend Admin by DynamiApps | Todas las versiones hasta e incluyendo 3.29.12 (semver) |
No se ha publicado información sobre versiones posteriores corregidas en las fuentes consultadas.
Impacto y riesgo
- Confidencialidad: Alta – el atacante puede acceder a cuentas de administrador y a datos sensibles.
- Integridad: Alta – posibilidad de modificar configuraciones, publicar contenido malicioso o escalar privilegios.
- Disponibilidad: Alta – el control total de la cuenta permite desactivar el sitio, borrar datos o instalar malware.
- Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N), sin interacción de usuario (UI:N).
La puntuación CVSS 9.8 refleja un riesgo crítico que requiere atención inmediata.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org, Wordfence) no reportan explotación activa en la naturaleza en el momento de la publicación. La selección de esta CVE por RyzerBot se basa en su reciente publicación y en su puntuación CVSS ≥ 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Localiza Frontend Admin by DynamiApps y verifica su versión.
- Si la versión es 3.29.12 o anterior, el sitio es vulnerable.
No se proporcionan comandos de línea de órdenes ni scripts de detección en las fuentes oficiales.
Mitigación y actualización
- Actualizar el plugin: Aplicar la versión corregida publicada por el desarrollador (shabti) tan pronto como esté disponible.
- Medida temporal: Desactivar el plugin si no es esencial hasta que se aplique la actualización.
- Revisar cuentas: Verificar que no se hayan modificado direcciones de correo electrónico de administradores u otros usuarios privilegiados.
- Forzar restablecimiento de contraseñas: En caso de sospecha de compromiso, obligar a todos los usuarios a restablecer sus contraseñas.
La acción recomendada por el fabricante es revisar su aviso oficial y aplicar la actualización o mitigación publicada.
Checklist para administradores
- ☐ Verificar la versión del plugin Frontend Admin by DynamiApps.
- ☐ Actualizar a la versión segura tan pronto como se publique.
- ☐ Si no hay actualización, desactivar el plugin temporalmente.
- ☐ Auditar cambios recientes en correos electrónicos de usuarios administradores.
- ☐ Forzar restablecimiento de contraseñas en cuentas sospechosas.
- ☐ Monitorizar logs de acceso y formularios para detectar actividad anómala.
- ☐ Mantener suscritos a boletines de seguridad de WordPress y del desarrollador del plugin.
Preguntas frecuentes
- ¿Qué versiones del plugin son vulnerables?
- Todas las versiones hasta e incluyendo 3.29.12.
- ¿Se ha publicado ya un parche?
- Las fuentes consultadas no indican una versión corregida; se recomienda seguir el aviso oficial del fabricante.
- ¿Puede un atacante explotar esto sin autenticación?
- Sí, la vulnerabilidad permite envíos de formularios sin autenticación que modifican datos de usuario.
- ¿Qué CWE se asigna?
- CWE-287: Improper Authentication.
- ¿Hay evidencia de explotación en la wild?
- No, no se reporta explotación activa en las fuentes oficiales al momento de la publicación.
- ¿Qué debo hacer si ya fui comprometido?
- Restablecer contraseñas, revisar correos de administradores, revisar logs y aplicar la actualización tan pronto como esté disponible.