CVE-2026-14488 in AIO Plugin
Résumé
par VulDB • 29/07/2026
Le plugin Meta Box AIO pour WordPress est vulnérable à une absence d'autorisation (Missing Authorization) via le dispatcher template_redirect dans l'extension MB Frontend Submission, dans les versions 3.8.0 et antérieures. Cela est dû au fait que la fonction handle_request() route l'action mbfs_delete sans effectuer de vérification des capacités ou de la propriété, et que la vérification du nonce dans check_ajax() est conditionnée par is_ajax(), qui retourne false pour les requêtes template_redirect, rendant ainsi cette protection contournable. Cela permet aux attaquants non authentifiés de supprimer n'importe quels articles (posts) et pages en fournissant un ID d'article contrôlé par l'attaquant via le paramètre GET rwmb_frontend_field_object_id sur toute page hébergeant un formulaire de soumission frontend, indépendamment du fait que allow_delete soit activé ou non.
If you want to get best quality of vulnerability data, you may have to visit VulDB.