CVE-2026-6228
AltoChe cos'è CVE-2026-6228?
Il plug-in Frontend Admin by DynamiApps per WordPress è vulnerabile all'escalation dei privilegi nelle versioni fino alla 3.28.36 inclusa. Ciò è dovuto a controlli di autorizzazione insufficienti nel meccanismo di aggiornamento dei campi del ruolo combinati con funzionalità eccessivamente permissive per il tipo di post admin_form. Il tipo di post personalizzato admin_form utilizza 'capability_type' => 'page', che garantisce agli editor la possibilità di creare e modificare moduli. Quando un editor crea un modulo edit_user, può manipolare la configurazione del modulo per includere 'administrator' nell'array role_options inviando direttamente i dati POST a wp-admin/
CVSS Vector Breakdown
CVSS 3.1Exploitable remotely over the network without requiring access to the local system.
No special conditions required. Exploit can be performed reliably and repeatedly.
Basic user account required (e.g. standard login without admin rights).
No user interaction required. Exploit runs without any victim action.
Exploiting the vulnerability only affects the vulnerable component itself.
Complete loss of confidentiality. All data on the component may be exposed.
Complete loss of integrity. Attacker can modify any file or data on the component.
Complete denial of service. The component becomes fully unavailable.
FAQ
CVE-2026-6228 ha un punteggio CVSS di 8.8/10, classificato come High. Questa è una vulnerabilità ad alta gravità e dovrebbe essere corretta il prima possibile.
Il CVSS (Common Vulnerability Scoring System) valuta la gravità delle vulnerabilità da 0,0 a 10,0. CVE-2026-6228 ottiene 8.8/10 (High). Punteggi da 9,0–10,0 sono Critici, 7,0–8,9 Alti, 4,0–6,9 Medi e sotto 4,0 Bassi.
L'elenco dei dispositivi confermati come interessati da CVE-2026-6228 è mostrato nella sezione "Dispositivi interessati" sopra. Confronta la versione del tuo firmware con l'avviso di sicurezza del fornitore e applica l'ultima patch.
Applica l'ultimo aggiornamento firmware o software del fornitore. Controlla la sezione Riferimenti sopra per avvisi ufficiali e note di patch. Se non è disponibile alcuna patch, considera di disabilitare la funzione interessata o isolare il dispositivo da reti non attendibili.