CVE-2026-39761
KrytyczneCVSS 9.8Streszczenie
Nieuwierzytelniona podatność na eskalację uprawnień w Meta Box AIO w wersjach do 3.7.1. Atakujący bez logowania może uzyskać wyższe uprawnienia.
Ocena ryzyka
Możliwość przejęcia kontroli nad aplikacją, nieautoryzowany dostęp do danych i funkcji administracyjnych.
Rekomendacja
Zaktualizuj Meta Box AIO do wersji, która zawiera poprawkę luki.
Inne podatności w Meta Box AIO
Zobacz wszystkie- CVE-2026-13355Krytyczne
Wtyczka Meta Box AIO dla WordPressa w wersjach do 3.11.0 włącznie pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień do Administratora. Luka wynika z połączenia błędów: funkcja populate_via_query_string() bez kontroli autoryzacji nadpisuje object_id formularza, a Form::process() nie sprawdza uprawnień user_can_edit(), co pozwala nadpisać treść dowolnej strony i wstrzyknąć shortcode [mb_user_profile_register] z dowolną rolą. Dotyczy to również samodzielnych wtyczek Meta Box Frontend Submission (do 4.5.6) i Meta Box User Profile (do 3.11.0).
- CVE-2026-14488Krytyczne
Wtyczka Meta Box AIO dla WordPress do wersji 3.8.0 włącznie (z rozszerzeniem MB Frontend Submission) ma brak autoryzacji w dispatcherze template_redirect. Funkcja handle_request() kieruje akcję mbfs_delete bez sprawdzania uprawnień, a weryfikacja nonce jest pomijana, ponieważ is_ajax() zwraca false dla żądań template_redirect. Nieuwierzytelniony atakujący może usuwać dowolne posty i strony, podając ID posta w parametrze rwmb_frontend_field_object_id.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Privilege Escalation in Meta Box AIO <= 3.7.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS