Frontend Admin by DynamiApps: Rechteerweiterung im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Frontend Admin by DynamiApps für Frontend-Formulare ermöglicht eine Rechteerweiterung durch falsche Berechtigungszuweisung (CVE-2026-109892, CVSS 9.8). Laut CVE-Eintrag und Patchstack kann ein Angreifer mit niedrigen Rechten, laut Patchstack möglicherweise ohne Anmeldung, Administratorrechte erlangen und die volle Kontrolle über die Website übernehmen. Ob die Ausnutzung von der Konfiguration und weiteren Voraussetzungen dieser spezifischen ID abhängt, ist nicht bestätigt.
Betroffen
- Frontend Admin by DynamiApps (WordPress-Plugin, Slug acf-frontend-form-element)
- Versionen von n/a bis einschliesslich 3.29.13 gemäss CVE-Eintrag
Behoben in
- Korrigierte Version für diese CVE: Unbekannt. Patchstack nennt 3.30.0 als gepatchte Version.
- Die verwandte CVE-2026-75816 wird als in 3.29.13 behoben gemeldet; der Hersteller hat den Zusammenhang noch nicht geklärt.
Umgehung
- Kein vom Hersteller bestätigter Workaround.
- Benutzerregistrierung deaktivieren, sofern nicht zwingend nötig.
- Zugriff auf wp-admin per IP-Allowlist einschränken.
- Falls kein Update verfügbar ist, das Plugin deaktivieren.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
- Laut einem Drittanbieter-Aggregator nicht im KEV-Katalog gelistet.
- Kein öffentlicher Proof-of-Concept für diese CVE-ID gefunden.
- Patchstack erwartet eine Ausnutzung, Massenangriffe sind möglich.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin inventarisieren und die genaue Version erfassen.
- Jetzt auf Version 3.30.0 oder die neueste Version aktualisieren.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Administratorkonten, kürzliche E-Mail-Änderungen und Passwort-Zurücksetzungen prüfen und nach unbekannten Admin-Konten suchen.
- Patchstack-Seite und Changelog des Herstellers auf Bestätigung der korrigierten Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-109892 app.opencve.io
- VulDB entry 420631 vuldb.com
- Strix CVE-2026-109892 www.strix.ai
- WPScan plugin page wpscan.com
- OffSeq Radar CVE-2026-109892 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.