CVE-2026-13355

KrytyczneCVSS 9.8

Opublikowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka Meta Box AIO dla WordPressa w wersjach do 3.11.0 włącznie pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień do Administratora. Luka wynika z połączenia błędów: funkcja populate_via_query_string() bez kontroli autoryzacji nadpisuje object_id formularza, a Form::process() nie sprawdza uprawnień user_can_edit(), co pozwala nadpisać treść dowolnej strony i wstrzyknąć shortcode [mb_user_profile_register] z dowolną rolą. Dotyczy to również samodzielnych wtyczek Meta Box Frontend Submission (do 4.5.6) i Meta Box User Profile (do 3.11.0).

Ocena ryzyka

Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad witryną WordPress, uzyskując uprawnienia administratora. Stanowi to krytyczne ryzyko dla poufności, integralności i dostępności całego serwisu.

Rekomendacja

Natychmiast zaktualizuj wtyczki Meta Box AIO, Meta Box Frontend Submission i Meta Box User Profile do wersji nowszych niż wskazane, a jeśli aktualizacja nie jest możliwa, rozważ wyłączenie podatnych wtyczek.

Inne podatności w Meta Box AIO

CVE-2026-14488Krytyczne
Wtyczka Meta Box AIO dla WordPress do wersji 3.8.0 włącznie (z rozszerzeniem MB Frontend Submission) ma brak autoryzacji w dispatcherze template_redirect. Funkcja handle_request() kieruje akcję mbfs_delete bez sprawdzania uprawnień, a weryfikacja nonce jest pomijana, ponieważ is_ajax() zwraca false dla żądań template_redirect. Nieuwierzytelniony atakujący może usuwać dowolne posty i strony, podając ID posta w parametrze rwmb_frontend_field_object_id.

Oryginalny opis (angielski, źródło NVD)

The Meta Box AIO plugin for WordPress is vulnerable to Privilege Escalation to Administrator in versions up to, and including, 3.11.0. This is due to a chained flaw: the populate_via_query_string() function in the mb-frontend-submission component unconditionally overrides the form's target object_id from the GET parameter 'rwmb_frontend_field_object_id' without any authorization check, and Form::process() lacks the user_can_edit() check present in render(), allowing unauthenticated attackers to overwrite the post_content of any page with an arbitrary shortcode via wp_update_post(); the mb-user-profile component then directly trusts the 'role' and 'auto_login' shortcode attributes in the injected [mb_user_profile_register] shortcode with no role validation. This makes it possible for unauthenticated attackers to elevate their privileges to Administrator. The standalone plugins Meta Box Frontend Submission (in versions up to 4.5.6) and Meta Box User Profile (versions up to 3.11.0) are also affected.