CVE-2026-13355 in AIO Plugin
الملخص
بحسب VulDB • 22/09/2026
يحتوي إضافة "Meta Box AIO" لـ WordPress على ثغرة تسمح بتصعيد الصلاحيات إلى مستوى المسؤول في الإصدارات حتى 3.11.0 شاملاً. ويعود ذلك إلى عطل متسلسل: حيث تقوم الدالة `populate_via_query_string()` الموجودة في مكون `mb-frontend-submission` بإعادة تعيين قيمة المعرف المستهدف للنموذج (`object_id`) من معلمة GET المسماة `'rwmb_frontend_field_object_id'` بشكل غير مشروط ودون أي فحص للصلاحيات، كما يفتقد الدالة `Form::process()` إلى فحص `user_can_edit()` الموجود في دالة `render()`، مما يتيح للمهاجمين غير المصادق عليهم استبدال محتوى المنشور (`post_content`) لأي صفحة باستخدام شورتكود تعسفي عبر `wp_update_post();`؛ ثم يعتمد مكون `mb-user-profile` بشكل مباشر على سمات الشورتكود `'role'` و `'auto_login'` في الشورتكود المُحقن `[mb_user_profile_register]` دون أي تحقق من الصلاحيات. وهذا يمكّن المهاجمين غير المصادق عليهم من تصعيد صلاحياتهم إلى مستوى المسؤول. تتأثر أيضاً الإضافات المستقلة "Meta Box Frontend Submission" (في الإصدارات حتى 4.5.6) و "Meta Box User Profile" (الإصدارات حتى 3.11.0).
If you want to get best quality of vulnerability data, you may have to visit VulDB.