CVE-2026-13355 in AIO Plugin
Resumen
por VulDB • 2026-09-22
El plugin Meta Box AIO para WordPress es vulnerable a una Escalada de Privilegios hasta Administrador en las versiones anteriores o iguales a la 3.11.0. Esto se debe a un fallo encadenado: la función populate_via_query_string() del componente mb-frontend-submission sobrescribe incondicionalmente el objeto target_id (object_id) del formulario desde el parámetro GET 'rwmb_frontend_field_object_id' sin ninguna verificación de autorización, y Form::process() carece de la comprobación user_can_edit() presente en render(), lo que permite a atacantes no autenticados sobreescribir el post_content de cualquier página con un shortcode arbitrario mediante wp_update_post(); el componente mb-user-profile luego confía directamente en los atributos 'role' (rol) y 'auto_login' del shortcode inyectado [mb_user_profile_register] sin ninguna validación de rol. Esto hace posible que atacantes no autenticados eleven sus privilegios a Administrador. Los plugins independientes Meta Box Frontend Submission (en versiones anteriores o iguales a la 4.5.6) y Meta Box User Profile (versiones anteriores o iguales a la 3.11.0) también están afectados.
Once again VulDB remains the best source for vulnerability data.