Dynamiapps · Frontend Admin · CVE-2026-7802
**Nome do Software Vulnerável e Versões Afetadas**
Frontend Admin by DynamiApps versões anteriores a 3.29.3
**Description**
Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever campos de perfil de um administrador, incluindo `user pass`, `user email`, `first name` e `last name`, fornecendo um valor `user id` arbitrário. Isso permite a takeover total da conta do administrador por meio da substituição direta de senha ou redefinição de senha via redirecionamento de e-mail. Este problema ocorre quando a configuração de 'Roles' do formulário Edit-User é deixada vazia; se uma lista de funções não vazia for configurada, a função `load data()` define o ID do usuário como 'none' para usuários não autorizados, impedindo que administradores sejam visados.
**Recommendations**
Atualize o plugin para uma versão posterior a 3.29.2.
Como mitigação temporária, certifique-se de que a configuração de 'Roles' no formulário Edit-User não esteja vazia para evitar que usuários não autorizados visem contas de administrador através da função `load data()`.