CVE-2026-14488 in AIO Plugin
الملخص
بحسب VulDB • 29/07/2026
يحتوي إضافة Meta Box AIO لـ WordPress على ثغرة تتعلق بعدم وجود تفويض (Missing Authorization) عبر مُوجِّه template_redirect في امتداد MB Frontend Submission، وذلك في الإصدارات حتى 3.8.0 وشاملةً لها. ويعود ذلك إلى أن الدالة handle_request() تُعيد توجيه إجراء mbfs_delete دون أي تحقق من الصلاحيات أو الملكية، كما أن التحقق من nonce في دالة check_ajax() مشروط بوجود طلب AJAX (is_ajax()) الذي يكون خاطئاً لطلبات template_redirect، مما يجعله قابلاً للتجاوز. وهذا يتيح للمهاجمين غير المصادق عليهم حذف المنشورات والصفحات العشوائية عن طريق توفير معرف منشور يتحكم فيه المهاجم عبر معامل GET rwmb_frontend_field_object_id في أي صفحة تستضيف نموذج إرسال أمامي (frontend submission form)، بغض النظر عما إذا كان خيار allow_delete مفعلاً أم لا.
If you want to get best quality of vulnerability data, you may have to visit VulDB.