Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 17 OCT · 03:46

CVE-2026-81344 Inyección de objetos PHP en Frontend Admin by DynamiApps

El plugin Frontend Admin by DynamiApps para WordPress, hasta la versión 3.29.13, no restringe qué clases PHP pueden instanciarse al deserializar contenido de entradas almacenado que se renderiza en páginas públicas. Esto permite a usuarios con altos privilegios, como administradores, inyectar un objeto PHP que, con una cadena POP adecuada en otro plugin o en el núcleo de WordPress, puede aprovecharse para lograr ejecución remota de código.

6.6MEDIA

CVSS 3.1

  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • ACF Frontend Admin by DynamiApps

    hasta 3.29.13

Qué hacer

  1. Verificá si usás ACF Frontend Admin by DynamiApps y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.6 MEDIA

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Privilegios requeridosAltos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadAlta

Descripción original

The ACF Frontend Admin by DynamiApps WordPress plugin through 3.29.13 does not restrict which PHP classes may be instantiated when it deserialises stored post content that is rendered on public-facing pages, allowing high-privilege users such as administrators to inject a PHP object which, given a suitable POP chain in another installed ACF Frontend Admin by DynamiApps WordPress plugin through 3.29.13 or in WordPress core, can be leveraged to achieve remote code execution.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.