Plataforma
wordpress
Componente
acf-frontend-form-element
Corrigido em
3.28.30
O plugin Frontend Admin by DynamiApps para WordPress apresenta uma vulnerabilidade de Escalada de Privilégios. Essa falha permite que atacantes não autenticados se registrem como administradores, comprometendo a segurança e o controle total do site. As versões afetadas incluem de 0.0.0 até a 3.28.29, sendo a versão 3.28.30 a versão corrigida.
A vulnerabilidade de Escalada de Privilégios no Frontend Admin permite que um atacante, sem a necessidade de autenticação, se registre no sistema como um administrador. A exploração bem-sucedida concede ao atacante controle total sobre o site WordPress, incluindo a capacidade de modificar conteúdo, instalar plugins maliciosos, criar novos usuários com privilégios elevados e, potencialmente, comprometer dados sensíveis armazenados no site. A falta de validação adequada dos valores de role durante o registro de usuários é a causa raiz do problema, abrindo uma brecha para a escalada de privilégios. A ausência de autenticação necessária para a exploração aumenta significativamente o risco, tornando o site vulnerável a ataques direcionados.
A vulnerabilidade foi publicada em 2026-01-09. Não há informações disponíveis sobre a inclusão em KEV ou a pontuação EPSS. Atualmente, não há relatos públicos de exploração ativa, mas a natureza crítica da vulnerabilidade e a facilidade de exploração a tornam um alvo potencial para atacantes. A ausência de um Proof of Concept (PoC) público não diminui a importância de aplicar a correção.
WordPress sites utilizing the Frontend Admin plugin, particularly those with publicly accessible user registration forms and legacy configurations, are at significant risk. Shared hosting environments where multiple WordPress installations share resources are also vulnerable, as a compromise of one site could potentially impact others.
• wordpress: Use wp-cli to check the installed plugin version:
wp plugin list | grep Frontend Admin• wordpress: Examine the wp-config.php file for any unusual configurations related to user roles or registration.
• wordpress: Review WordPress access logs for suspicious user registration attempts with the role set to 'administrator'.
• generic web: Monitor access logs for requests to the user registration endpoint with manipulated Role parameters.
disclosure
Status do Exploit
EPSS
0.03% (percentil 10%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2025-14736 é a atualização imediata do plugin Frontend Admin para a versão 3.28.30 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar temporariamente o plugin ou restringir o acesso ao formulário de registro de usuários. Implementar uma WAF (Web Application Firewall) com regras para bloquear solicitações suspeitas de registro com valores de role maliciosos pode fornecer uma camada adicional de proteção. Monitore os logs do WordPress em busca de tentativas de registro suspeitas ou alterações não autorizadas nas permissões de usuário.
Atualize para a versão 3.28.30, ou uma versão corrigida mais recente
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-14736 is a critical vulnerability in the Frontend Admin WordPress plugin allowing unauthenticated attackers to gain administrator privileges.
If you are using Frontend Admin plugin versions 0.0.0 through 3.28.29, you are vulnerable to this privilege escalation attack.
Upgrade the Frontend Admin plugin to version 3.28.30 or later to resolve this vulnerability. Consider temporary mitigations if immediate upgrade is not possible.
While no active exploitation has been confirmed, the vulnerability's simplicity makes it a likely target for attackers.
Refer to the DynamiApps website and WordPress plugin repository for the latest advisory and update information regarding CVE-2025-14736.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.