Критическая уязвимость повышения привилегий в WordPress-плагине Frontend Admin by DynamiApps (CVE-2026-109892)
В плагине Frontend Admin by DynamiApps для WordPress обнаружена критическая уязвимость повышения привилегий (CVE-2026-109892) с оценкой CVSS 9.8. Проблема затрагивает версии до 3.29.13 включительно и позволяет злоумышленнику получить несанкционированные права доступа. Рекомендуется срочно обновить плагин до исправленной версии.
Подробности
Уязвимости присвоен идентификатор CVE-2026-109892. Речь идёт об ошибке некорректного назначения привилегий (Incorrect Privilege Assignment) в плагине Frontend Admin by DynamiApps, разработчиком которого указан Shabti Kaplan. Технический компонент, в котором локализована проблема, — acf-frontend-form-element. Согласно описанию, уязвимость позволяет осуществить повышение привилегий (Privilege Escalation). Это означает, что пользователь с низким уровнем доступа — например, обычный зарегистрированный подписчик — теоретически может получить права более высокого уровня, вплоть до администратора. Такой сценарий даёт злоумышленнику возможность полностью контролировать сайт: устанавливать и удалять плагины и темы, изменять настройки, внедрять вредоносный код и похищать данные. Уязвимы все версии плагина, начиная с неопределённой (n/a) и заканчивая 3.29.13 включительно. Оценка критичности по шкале CVSS составляет 9.8 из 10, что соответствует максимальному уровню — CRITICAL. Столь высокая оценка обусловлена тем, что эксплуатация не требует аутентификации с высокими правами и может привести к полной компрометации ресурса. Подобные уязвимости часто становятся вектором массовых автоматизированных атак на сайты под управлением WordPress, поэтому промедление с обновлением недопустимо.Что делать
Основная и наиболее надёжная рекомендация — как можно скорее обновить плагин Frontend Admin by DynamiApps до версии, в которой уязвимость устранена. Поскольку запись CVE не содержит информации о конкретной исправленной версии, следует обратиться к официальной странице плагина в каталоге WordPress или к ресурсам разработчика, чтобы уточнить актуальный номер безопасного релиза и незамедлительно его установить. Если немедленное обновление невозможно, рекомендуется применить временные компенсационные меры. В их числе — ограничение доступа к функциональности плагина только для доверенных ролей, временное отключение плагина до выхода патча, а также усиление мониторинга за действиями пользователей и изменениями учётных записей. Дополнительно стоит проверить журналы активности на предмет подозрительных операций, связанных с повышением прав доступа, и убедиться, что на сайте нет уже скомпрометированных аккаунтов. Также целесообразно провести аудит ролей и разрешений, чтобы исключить избыточные полномочия у пользователей с низким уровнем доступа. Итог: CVE-2026-109892 — критическая уязвимость, которая несёт прямую угрозу безопасности сайтов на WordPress, использующих плагин Frontend Admin by DynamiApps версий до 3.29.13 включительно. Единственный надёжный способ защиты — своевременное обновление. Владельцам сайтов следует отнестись к проблеме максимально серьёзно и принять меры незамедлительно, не дожидаясь инцидентов.Источник: CVE Project (cvelistV5)