CVE-2026-14488
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wtyczka Meta Box AIO dla WordPress do wersji 3.8.0 włącznie (z rozszerzeniem MB Frontend Submission) ma brak autoryzacji w dispatcherze template_redirect. Funkcja handle_request() kieruje akcję mbfs_delete bez sprawdzania uprawnień, a weryfikacja nonce jest pomijana, ponieważ is_ajax() zwraca false dla żądań template_redirect. Nieuwierzytelniony atakujący może usuwać dowolne posty i strony, podając ID posta w parametrze rwmb_frontend_field_object_id.
Ocena ryzyka
Atakujący może usunąć dowolne treści na stronie WordPress, co prowadzi do utraty danych i zakłócenia działania witryny.
Rekomendacja
Należy zaktualizować wtyczkę Meta Box AIO do wersji 3.8.1 lub nowszej, która zawiera poprawkę autoryzacji.
Inne podatności w Meta Box AIO
Zobacz wszystkie- CVE-2026-39761Krytyczne
Nieuwierzytelniona podatność na eskalację uprawnień w Meta Box AIO w wersjach do 3.7.1. Atakujący bez logowania może uzyskać wyższe uprawnienia.
- CVE-2026-13355Krytyczne
Wtyczka Meta Box AIO dla WordPressa w wersjach do 3.11.0 włącznie pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień do Administratora. Luka wynika z połączenia błędów: funkcja populate_via_query_string() bez kontroli autoryzacji nadpisuje object_id formularza, a Form::process() nie sprawdza uprawnień user_can_edit(), co pozwala nadpisać treść dowolnej strony i wstrzyknąć shortcode [mb_user_profile_register] z dowolną rolą. Dotyczy to również samodzielnych wtyczek Meta Box Frontend Submission (do 4.5.6) i Meta Box User Profile (do 3.11.0).
Oryginalny opis (angielski, źródło NVD)
The Meta Box AIO plugin for WordPress is vulnerable to Missing Authorization via the template_redirect dispatcher in the MB Frontend Submission extension in versions up to, and including, 3.8.0. This is due to the handle_request() function routing the mbfs_delete action without any capability or ownership check, and the nonce verification in check_ajax() being gated behind is_ajax() which is false for template_redirect requests, making it bypassable. This makes it possible for unauthenticated attackers to delete arbitrary posts and pages by supplying an attacker-controlled post ID via the rwmb_frontend_field_object_id GET parameter on any page that hosts a frontend submission form regardless of whether allow_delete is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS