CVE-2026-6243
Beschrijving NL
De Frontend Admin by DynamiApps plugin voor WordPress is kwetsbaar voor Stored Cross-Site Scripting via kses bypass / mutation XSS in alle versies tot en met 3.28.36. Dit komt door de functie 'get_dynamic_values' die op tekstniveau zoek- en vervangbewerkingen uitvoert op postcontent zonder HTML-bewuste parsering. Dit maakt het mogelijk voor geverifieerde aanvallers, met toegang op Contributor-niveau en hoger, om willekeurige webscripts te injecteren in pagina's die worden uitgevoerd wanneer een gebruiker een geïnjecteerde pagina opent.
Origineel (Engels) tonen
The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Stored Cross-Site Scripting via kses bypass / mutation XSS in all versions up to, and including, 3.28.36. This is due to the 'get_dynamic_values' function performing text-level find-and-replace operations on post content without HTML-aware parsing. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.